Cómo reclamar al banco por una estafa: guía paso a paso

Qué dice la ley: tu banco es responsable

La Directiva Europea de Servicios de Pago (PSD2), transpuesta en España por el Real Decreto-Ley 19/2018, establece un marco muy claro:

• Art. 45 — Responsabilidad del proveedor: el banco debe devolver el importe de la operación no autorizada de forma inmediata, como máximo antes del final del día hábil siguiente.
• Art. 46 — Autenticación reforzada (SCA): el banco debe aplicar autenticación de doble factor en las operaciones electrónicas. Si no lo hizo, la responsabilidad recae íntegramente en la entidad.
• Art. 44 — Carga de la prueba: para eximirse, el banco debe demostrar que la operación fue autenticada, registrada y contabilizada sin fallos técnicos. La carga de la prueba es suya, no tuya.

STS 571/2025: el precedente que lo cambió todo

El Tribunal Supremo estableció que el banco tiene una obligación cuasi-objetiva de seguridad: no basta con autenticar operaciones, debe impedir las fraudulentas. Y que la sofisticación del ataque (SMS en el hilo oficial, número de teléfono falsificado) demuestra que el usuario no fue negligente, sino víctima de una técnica que cualquier persona razonable podría no detectar. Si faltaron alertas en tiempo real, bloqueos por IP sospechosa o retenciones en transferencias de alto importe, es fallo del sistema de seguridad bancario.

Paso 1 — Documenta todo inmediatamente

• Capturas de los SMS, emails o registro de llamadas.
• Extracto bancario con las operaciones fraudulentas.
• Hora exacta de los hechos y de cuándo te diste cuenta.
• No borres nada: ni mensajes, ni historial, ni la app. Todo es evidencia.

Paso 2 — Reclamación formal a tu banco

• Por escrito (email con acuse de recibo o carta certificada) al Servicio de Atención al Cliente.
• Solicita la devolución inmediata conforme al Art. 45 del RDL 19/2018.
• El banco tiene 15 días hábiles para responder.

Muchos bancos deniegan en primera instancia con argumentos genéricos («usted facilitó sus claves»). Eso no es suficiente para eximirles según la ley. No te desanimes: es parte del guion.

Paso 3 — Denuncia ante Policía Nacional o Guardia Civil

Presencial o a través de la Oficina Virtual de Denuncias. La denuncia acredita que eres víctima de un delito, fija fecha cierta de los hechos y refuerza tu posición frente al banco.

Paso 4 — Informe pericial de ciberinvestigación

El paso que marca la diferencia entre una reclamación que prospera y una que se queda en el cajón. Un informe pericial analiza:

• La infraestructura del ataque: dominios falsos, servidores, certificados, registros WHOIS y DNS.
• La técnica utilizada: SMS spoofing, web clonada, man-in-the-middle, SIM swapping.
• Los fallos del banco: ausencia de SCA real, falta de alertas ante IP sospechosas, sin retenciones en transferencias atípicas, sin detección de patrones anómalos.
• Tu conducta: demuestra que la sofisticación del ataque hacía casi imposible detectarlo para un usuario medio.

Paso 5 — Reclamación al Banco de España

• Requisito: haber reclamado al banco y que hayan pasado 15 días hábiles sin respuesta satisfactoria.
• Se presenta online, adjuntando reclamación, denuncia y, si lo tienes, el informe pericial.
• Su informe no es vinculante, pero las entidades suelen acatarlo para evitar daño reputacional.

Paso 6 — Vía judicial, si hace falta

• Hasta 2.000 €: juicio verbal sin abogado ni procurador.
• Importes superiores: con un despacho especializado — para eso está nuestra red de despachos.
• El informe pericial es la prueba técnica clave, y la jurisprudencia actual es muy favorable al consumidor.

Plazos: no los dejes pasar

• Notificación al banco: en cuanto detectes el fraude; máximo 13 meses desde el cargo (Art. 43 RDL 19/2018).
• Banco de España: tras la denegación del banco.
• Vía judicial: prescripción general de 5 años (Art. 1964 del Código Civil).