Aplicable en España — basado en normativa española (BOE).Fraude bancario por suplantación: qué hacer y cuándo responde el banco
Resumen rápido: El phishing es el fraude consistente en suplantar la identidad de una entidad de confianza —normalmente un banco— para obtener credenciales o claves de la víctima y realizar operaciones no autorizadas con cargo a sus cuentas.
Definición flash: Fraude que suplanta la identidad de una entidad de confianza, normalmente un banco, para obtener credenciales y realizar operaciones no autorizadas.
Etiqueta lingüística
La palabra es inglesa y no tiene traducción oficial, aunque a veces se lea «suplantación de identidad». Conviene saber que en un escrito jurídico no basta con nombrarla: hay que describir la conducta, porque el término no designa un delito con ese nombre.
Definición técnica
Dos planos distintos, y confundirlos es lo que hace perder reclamaciones. En el penal, el artículo 248 del Código Penal tipifica la estafa: engaño bastante para producir error y con ánimo de lucro; y cuando el autor obtiene una transferencia no consentida mediante manipulación informática o usa de forma fraudulenta tarjetas o sus datos, el tipo es el de la estafa informática del artículo 249.1, letras a) y b). En el civil y de servicios de pago, el Real Decreto-ley 19/2018 reparte el riesgo: su artículo 44 pone en el proveedor la carga de demostrar que la operación fue autenticada y registrada con exactitud, y el artículo 45 le obliga a devolver el importe de la operación no autorizada de inmediato y, a más tardar, al final del día hábil siguiente, salvo que tenga motivos razonables para sospechar fraude y los comunique por escrito al Banco de España.
Aplicación práctica
Por eso el orden importa: denunciar está bien, pero lo que recupera el dinero es la reclamación al banco. Hay que comunicar la operación no autorizada cuanto antes y por escrito, conservando el resguardo, y no aceptar como respuesta que la culpa fue del cliente: la ley pone la prueba del lado del proveedor. Guardar el correo o el mensaje recibido ayuda a acreditar el engaño.
Contexto legal en España
Que la carga de la prueba esté colocada en el proveedor de servicios de pago responde a una idea sencilla: es quien controla el sistema de autenticación y quien puede acreditar cómo se autorizó la operación. Leer el caso desde ahí evita el planteamiento habitual, que consiste en discutir si la víctima fue descuidada.
Normas clave a tener en cuenta
- Código Penal, artículo 248
- Real Decreto-ley 19/2018, de servicios de pago, artículo 44 (carga de la prueba: corresponde al proveedor demostrar que la operación fue autenticada, registrada con exactitud y contabilizada)
- Real Decreto-ley 19/2018, artículo 45 (responsabilidad del proveedor: devuelve el importe de la operación no autorizada de inmediato, a más tardar el día hábil siguiente)
- Real Decreto-ley 19/2018, artículo 46 (responsabilidad del ordenante: soporta toda la pérdida, sin el límite de 50 euros, si actuó con dolo o negligencia grave)
- Real Decreto-ley 19/2018, artículo 43 (plazo máximo de trece meses para notificar la operación no autorizada, sin demora injustificada desde que se conoce)
- Real Decreto-ley 19/2018, artículo 68 (autenticación reforzada del cliente al acceder a la cuenta o iniciar un pago electrónico)
- Código Penal, artículo 249.1.a) (estafa informática: transferencia no consentida por manipulación informática; desde el 12-ene-2023, antes art. 248.2)
Qué no es / diferencias clave
- Estafa común
- En la estafa clásica la víctima entrega voluntariamente el dinero engañada. En el phishing hay además una operación de pago no autorizada, lo que activa el régimen específico de servicios de pago frente a la entidad.
- Smishing y vishing
- Son las mismas técnicas por SMS y por llamada telefónica. El canal no cambia el régimen jurídico: lo decisivo es si la operación fue autorizada por el usuario o no (arts. 44 a 46 RDL 19/2018).
- Compra fraudulenta en una tienda online
- Si autorizaste el pago pero no recibiste el producto, la vía es el incumplimiento contractual y las herramientas de retrocesión, no el régimen de operaciones no autorizadas.
Términos relacionados
La regla que casi nadie conoce
La normativa de servicios de pago parte de un principio que sorprende a la mayoría de las víctimas: ante una operación de pago no autorizada, la entidad debe devolver el importe de inmediato, y en todo caso a más tardar al final del día hábil siguiente, salvo que tenga motivos razonables para sospechar fraude y los comunique por escrito al Banco de España (art. 45.1 RDL 19/2018). Es ella, además, quien tiene la carga de probar que la operación fue autenticada, registrada correctamente y no se vio afectada por un fallo técnico.
El banco solo queda liberado si acredita que el usuario actuó de forma fraudulenta o incumplió, deliberadamente o por negligencia grave, sus obligaciones del art. 41 (proteger sus credenciales y notificar sin demora su extravío, sustracción o uso no autorizado). Fuera de esos casos, por el uso de un instrumento de pago extraviado, sustraído o apropiado indebidamente puede hacer soportar al cliente como máximo 50 euros, y ni siquiera eso en los supuestos del art. 46.1; y si la entidad no exigió autenticación reforzada, el cliente solo responde si actuó de forma fraudulenta (art. 46.2).
Dicho de otro modo: no corresponde al cliente demostrar que no fue él. Corresponde al banco demostrar que el cliente fue gravemente negligente. Muchas reclamaciones se abandonan por desconocer justamente esto.
Negligencia grave: dónde está la discusión
Ese es el terreno del pleito. No cualquier descuido es negligencia grave: el listón está en una desatención especialmente intensa de los deberes de custodia.
Los tribunales vienen valorando la sofisticación del engaño, y el fraude ha evolucionado mucho: suplantación del número de teléfono real del banco, llamadas que continúan un SMS legítimo dentro del mismo hilo, páginas idénticas a las originales. Cuanto más creíble es el engaño, más difícil resulta sostener que la víctima fue gravemente negligente.
Por el contrario, facilitar claves tras un correo burdo con errores evidentes, o autorizar varias operaciones seguidas pese a avisos claros, juega en contra.
Qué hacer, en este orden
Las primeras horas condicionan tanto la recuperación del dinero como la reclamación posterior.
- Comunicar a la entidad de inmediato la operación no autorizada y pedir el bloqueo, dejando constancia escrita de la hora
- Denunciar ante la Policía o la Guardia Civil, que además documenta el fraude
- Reclamar por escrito al servicio de atención al cliente de la entidad solicitando la devolución
- Si no atiende, acudir al organismo supervisor y, en su caso, a la vía judicial
- Conservar TODO: mensajes, capturas, números desde los que llamaron, correos y horas exactas
El plazo también corre
La normativa exige comunicar la operación no autorizada sin demora injustificada desde que se tiene conocimiento y, en todo caso, dentro de un plazo máximo de trece meses desde la fecha del adeudo (art. 43.1 RDL 19/2018), que no se aplica si la entidad no facilitó la información sobre la operación.
Esperar «a ver si se soluciona» es el error más caro: retrasar la comunicación no solo dificulta recuperar el dinero, sino que debilita la posición jurídica frente a la entidad.
Dato de autoridad
El artículo 248 del Código Penal tipifica la estafa base del phishing: "Cometen estafa los que, con ánimo de lucro, utilizaren engaño bastante para producir error en otro, induciéndolo a realizar un acto de disposición en perjuicio propio o ajeno" — aquí, suplantando a la entidad de confianza.
Encuentra un abogado
Preguntas frecuentes sobre phishing
¿Tiene el banco que devolverme el dinero?
Ante una operación de pago no autorizada la entidad debe reintegrar el importe de inmediato y, a más tardar, al final del día hábil siguiente, salvo sospecha razonable de fraude comunicada por escrito al Banco de España, y es ella quien debe probar que la operación fue autenticada correctamente y que el usuario actuó con fraude o negligencia grave. No eres tú quien debe demostrar que no fuiste tú, y esa inversión de la carga de la prueba es la clave de estas reclamaciones.
Di mis claves, ¿pierdo el derecho a reclamar?
No automáticamente. Hay que valorar si hubo negligencia GRAVE, que es un listón alto, atendiendo a lo sofisticado del engaño, y probarla corresponde a la entidad (art. 44.3 RDL 19/2018). Además, si la entidad no exigió autenticación reforzada, solo respondes si actuaste de forma fraudulenta (art. 46.2). Los fraudes actuales suplantan el número real del banco y se insertan en hilos de SMS legítimos, y ante engaños así resulta difícil sostener que la víctima fue gravemente negligente.
¿Qué hago en las primeras horas?
Comunicarlo de inmediato a la entidad pidiendo el bloqueo y dejando constancia escrita de la hora, denunciar ante la Policía o la Guardia Civil, y reclamar por escrito la devolución. Conserva todo: mensajes, capturas, números y horas. Esa documentación es la que sostiene después la reclamación.
¿Sirve de algo denunciar si no van a encontrar al autor?
Sí, y conviene hacerlo aunque la identificación del autor sea improbable. La denuncia documenta el fraude con fecha y contenido, lo que refuerza la reclamación frente a la entidad, que es la vía por la que realmente se recupera el dinero.
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.