Respuesta breve
Si detectas una operación bancaria que no has autorizado, avisa inmediatamente al banco por un canal oficial, solicita el bloqueo necesario y reclama por escrito la devolución. Conserva mensajes, movimientos y justificantes del aviso. Que se hayan utilizado tus credenciales no demuestra por sí solo que dieras tu consentimiento ni que actuases con negligencia grave. Si tú ordenaste una transferencia bajo engaño, el análisis puede ser diferente.
Ámbito de la guía. Operaciones de pago y reclamaciones de usuarios en España. Normativa y fuentes consultadas el 8 de octubre de 2026. La aplicación depende de quién ordenó cada operación, el servicio, los hechos y las pruebas; esta guía no garantiza la recuperación del dinero.
Qué conviene tener claro
- Comunica el fraude al banco cuanto antes y guarda fecha, hora y número de incidencia.
- Distingue autenticación, consentimiento y eventual responsabilidad: son cuestiones distintas.
- Reclamar al banco, denunciar el delito y acudir al Banco de España cumplen funciones diferentes.
- Los trece meses son un límite máximo de comunicación, no una autorización para esperar.
Qué hacer en las primeras horas si te han vaciado la cuenta
Contacta con tu entidad mediante la aplicación oficial, un teléfono obtenido de su web o una oficina. No utilices el número, enlace o contacto incluido en el mensaje sospechoso. Explica qué operaciones no reconoces, pide medidas para impedir nuevos cargos y solicita confirmación escrita. Si pierdes repentinamente la cobertura del móvil, comunica también el incidente a tu operador: puede existir un problema con la tarjeta SIM, aunque esa pérdida no demuestra por sí sola un fraude.
Conserva las pruebas antes de borrar mensajes o restaurar dispositivos. Cambia las credenciales comprometidas desde un dispositivo fiable y sigue las indicaciones del servicio de seguridad de la entidad. INCIBE ofrece el 017 como ayuda en ciberseguridad; ese apoyo no sustituye una denuncia policial ni la reclamación de devolución. No esperes a tener identificado al autor para avisar al banco.
Operación no autorizada o transferencia hecha bajo engaño: identifica tu caso
En una operación no autorizada, un tercero ordena o ejecuta el pago sin tu consentimiento. Puede haberse apropiado de credenciales, de la tarjeta o del acceso al teléfono. El artículo 36 del Real Decreto-ley 19/2018 vincula la autorización al consentimiento del ordenante; el nombre de la estafa —phishing, smishing o vishing— no resuelve por sí solo si ese consentimiento existió.
Otro supuesto es que seas tú quien introduzca y confirme una transferencia creyendo que pagas a un destinatario legítimo o que proteges tu dinero. No presupongas que se resuelve exactamente igual: hay que examinar cómo se prestó el consentimiento, qué advertencias recibiste, qué datos mostraba la orden y la actuación de los proveedores. Cuenta lo sucedido con precisión, sin acomodarlo a un modelo encontrado en internet. También distingue una compra que autorizaste pero cuyo vendedor no entrega el producto: puede ser una controversia comercial diferente.
¿El banco puede rechazar la reclamación porque se utilizó un código SMS?
El artículo 44 establece que, cuando niegas la autorización, corresponde al proveedor acreditar la autenticación, el registro y la contabilización correctos, así como la ausencia de fallos técnicos u otras deficiencias. El registro del uso del instrumento no basta necesariamente para demostrar consentimiento, fraude del usuario o incumplimiento deliberado o gravemente negligente.
Por eso, una contestación que solo diga «operación validada con sus claves» no agota el análisis. Pide que identifique qué operación se autenticó, mediante qué mecanismo y qué evidencia relaciona el proceso con una autorización tuya. Si el mensaje mostraba un importe o destinatario diferente, o desconoces haber recibido el código, descríbelo y conserva la prueba. No toda incidencia acredita un fallo bancario: deben examinarse los registros y circunstancias, pero tampoco puede darse por probado tu consentimiento únicamente porque el sistema aceptara una contraseña.
Cuándo debe devolver el dinero el banco y qué debe justificar
El artículo 45 prevé la restitución de una operación no autorizada de inmediato y, como máximo, al final del día hábil siguiente a aquel en que la entidad la observa o recibe la notificación. Contempla la excepción de motivos razonables para sospechar fraude comunicados por escrito al Banco de España en los términos establecidos. Esta regla debe coordinarse con la notificación del artículo 43 y el régimen de responsabilidad del artículo 46.
No confundas ese deber con el tiempo de respuesta a una reclamación ante el Servicio de Atención al Cliente. Si la entidad abre una investigación, solicita que explique la base concreta por la que mantiene el cargo, qué hechos atribuye al usuario y qué comprobaciones realiza. La existencia de una investigación no debe convertirse en una respuesta indefinida. Si te reintegran provisionalmente una cantidad, pide conocer su carácter y las condiciones: un abono provisional no cierra necesariamente la discusión.
Qué significa negligencia grave y por qué no debe presumirse
El artículo 46 contempla que el usuario soporte pérdidas cuando exista fraude o incumplimiento deliberado o por negligencia grave de sus obligaciones. No todo error equivale automáticamente a esa categoría. Importan la mecánica del engaño, las advertencias efectivamente recibidas, la información que mostraba cada pantalla, los avisos al banco y las medidas adoptadas por cada interviniente.
La ley también regula, con excepciones, pérdidas de hasta 50 euros asociadas a instrumentos extraviados, sustraídos o apropiados indebidamente. Esa cifra no es una franquicia universal aplicable a cualquier estafa ni un máximo que proteja frente a todos los supuestos de negligencia grave. Presenta un relato completo: ocultar que introdujiste una clave o aceptaste una pantalla dificulta evaluar y defender la reclamación. Una explicación honesta permite discutir el significado jurídico de lo que ocurrió.
Cuánto tiempo tienes para reclamar una operación que no reconoces
El artículo 43 exige comunicarla sin tardanza injustificada desde que tienes conocimiento y, como límite general, dentro de trece meses desde el adeudo, con la salvedad prevista cuando el proveedor no facilita la información exigible. Guarda la fecha en que descubriste el movimiento y la del primer aviso. La fecha de la estafa, la de conocimiento y la de reclamación pueden ser distintas.
La sentencia del TJUE de 1 de agosto de 2025, C-665/23, Veracash, examinó esa relación bajo la anterior Directiva de servicios de pago. Su comunicación oficial explica que, en el supuesto analizado, el retraso deliberado o gravemente negligente puede afectar a la devolución aunque se avise dentro de trece meses. No permite equiparar cualquier retraso a pérdida automática de derechos. La enseñanza práctica es avisar tan pronto como conozcas el cargo y documentar la secuencia, sin esperar a cerrar todas las averiguaciones.
Qué documentos necesitas para reclamar al banco por phishing
Crea una cronología con columnas para fecha, hecho, operación e identificador de la prueba. Descarga extractos donde se vean importe, concepto y destinatario; conserva correos y SMS completos, teléfonos utilizados, capturas de avisos y comprobantes de las comunicaciones con la entidad. Mantén los archivos originales y anota qué dispositivo utilizabas. Si hubo duplicado de SIM, pide al operador la documentación disponible.
Solicita al banco la información y registros que fundamentan su respuesta, indicando cada operación controvertida. El artículo 44.4 establece obligaciones de conservación y facilitación de documentación al usuario en sus términos. No publiques capturas con números completos de cuenta, contraseñas o datos de terceros. Tu carpeta debe ayudar a reconstruir los hechos, no multiplicar las exposiciones de información. Si hay operaciones posteriores al aviso, sepáralas: la secuencia puede ser jurídicamente relevante.
Cómo redactar la reclamación ante el Servicio de Atención al Cliente
Identifica al titular, la cuenta de forma suficiente y las operaciones impugnadas. Explica cuándo las conociste, cómo avisaste y por qué niegas haberlas autorizado. Pide la restitución, la justificación de la eventual negativa y la documentación que sustenta la autenticación, autorización y responsabilidad que se te atribuya. Adjunta las pruebas relevantes con un índice sencillo y solicita respuesta por escrito.
Una estructura útil es: «Impugno las operaciones identificadas en el anexo porque no presté consentimiento para ellas. Tuve conocimiento el día indicado y lo comuniqué por el canal que acredito. Solicito su restitución conforme al régimen de servicios de pago y, si se rechaza, motivación individualizada y los registros que fundamenten la decisión». Adapta ese texto a los hechos: no niegues haber ordenado una transferencia si sí lo hiciste. Conserva acreditación de recepción por el SAC, además de las conversaciones informales con la oficina.
Denuncia policial y reclamación al banco: pueden avanzar por vías distintas
La denuncia permite poner el posible delito en conocimiento de las autoridades y aportar información para su investigación. La reclamación bancaria exige analizar la relación de pago y la responsabilidad correspondiente. Entregar la denuncia a la entidad puede documentar el incidente, pero no sustituye expresar qué movimientos impugnas y qué devolución solicitas.
Aporta hechos observados y diferencia tus sospechas de lo que puedes acreditar. Si desconoces la identidad real del autor, indica los datos disponibles sin atribuir responsabilidades a una persona solo porque su nombre figure en una transferencia. Pide orientación si hay procedimientos abiertos o se plantea reclamar por varias vías, para coordinar pretensiones y evitar contradicciones. No pagues a quien prometa recuperar el dinero a cambio de otro envío o solicite tus credenciales: esa propuesta puede agravar el perjuicio.
Cuándo acudir al Banco de España y qué resultado puedes obtener
La información del Banco de España exige reclamar primero al SAC o defensor del cliente de la entidad. En servicios de pago, la referencia general para la respuesta es de quince días hábiles; el artículo 69 contempla situaciones excepcionales y respuesta definitiva dentro del plazo legal ampliado. Una contestación desfavorable permite examinar el siguiente paso sin esperar a una nueva respuesta idéntica.
El procedimiento del Banco de España termina con un informe que no es vinculante para las partes y no equivale a una sentencia que ordene ejecutar el pago. Comprueba los requisitos de admisión, el plazo para acudir y si existe un procedimiento judicial sobre los mismos hechos. Su utilidad consiste en revisar la actuación de la entidad dentro de su competencia. No dejes que esperar un informe haga pasar otros plazos que puedan afectar a tu reclamación.
Qué aportan las novedades europeas y cómo leerlas con prudencia
En el asunto C-70/25, Tukowiecka, el abogado general presentó el 5 de marzo de 2026 conclusiones sobre restitución inmediata y eventual responsabilidad posterior del cliente. El comunicado del TJUE distingue expresamente esa propuesta jurídica de una sentencia: las conclusiones no vinculan al Tribunal. En esta guía se citan con esa condición, sin atribuirles un fallo que no se ha verificado.
La distinción importa al preparar una reclamación. Puedes apoyarte en las normas y resoluciones aplicables, pero una noticia que anuncia un posible cambio no sustituye el documento procesal que realmente existe. Antes de incorporar una novedad a una demanda, comprueba el estado del asunto y el supuesto que resuelve. Tampoco debe trasladarse una conclusión sobre operaciones no autorizadas, sin análisis adicional, a cualquier transferencia que una víctima ejecutó bajo engaño.
Si el banco sigue negándose: prepara la decisión con números y pruebas
Reúne una carpeta final con importe neto perdido, cantidades reintegradas, cronología, escritos y respuesta de la entidad. Si hubo varias operaciones, crea una línea por movimiento y evita reclamar dos veces cantidades recuperadas. Un ejemplo: de tres cargos de 800 euros, si uno se devuelve definitivamente, el principal pendiente sería 1.600 euros; intereses, comisiones o daños requieren identificación y fundamento propios.
Valora con asesoramiento el procedimiento, prueba técnica necesaria, costes y solvencia del responsable. En una eventual acción civil hay que comprobar el requisito negociador y sus especialidades de consumo de la Ley Orgánica 1/2025; una denuncia penal no lo cumple automáticamente. LAIER puede ayudarte a ordenar la cronología y preparar preguntas sobre los documentos, dentro de sus límites de uso. La prioridad sigue siendo comunicar el incidente y conservar las pruebas a tiempo.
Fuentes y referencias
Consulta el documento original y la versión aplicable a la fecha de los hechos. La selección recoge las referencias utilizadas en esta guía; no pretende agotar toda la normativa.
- NormativaReal Decreto-ley 19/2018, de servicios de pago
Arts. 36, 41–46 y 69: consentimiento, notificación, prueba, devolución, responsabilidad y reclamaciones.
- Organismo públicoBanco de España: cómo presentar una reclamación
Reclamación previa al SAC, plazos de respuesta e informe no vinculante. Consultado el 8 de octubre de 2026.
- NormativaLey Orgánica 1/2025: negociación previa y acceso a los tribunales
Arts. 2–10 y disposición adicional séptima: ámbito, excepciones, acreditación y confidencialidad.
- Organismo públicoINCIBE 017: servicio público de ayuda en ciberseguridad
Información institucional de 14 de julio de 2026, leída el 8 de octubre: orientación ante phishing; el 017 no es un canal de denuncia.
- JurisprudenciaTJUE, C-665/23, Veracash, de 1 de agosto de 2025
Comunicado institucional 97/25 leído: demora en notificar operaciones no autorizadas, trece meses y negligencia grave; interpreta la Directiva 2007/64/CE.
- Organismo públicoConclusiones del abogado general en C-70/25, de 5 de marzo de 2026
Comunicado 31/26 leído. Propuesta sobre restitución inmediata; no es sentencia ni pronunciamiento vinculante del TJUE.
Preguntas frecuentes
¿Me devuelven siempre el dinero si he sufrido phishing?
No puede garantizarse. Hay que determinar la autorización de las operaciones, los hechos, la prueba y la eventual responsabilidad. El régimen de pagos no autoriza a presumir negligencia grave solo por haberse usado credenciales.
¿Debo esperar a denunciar para avisar al banco?
No. Comunica cuanto antes los movimientos y pide medidas para evitar otros. La denuncia del posible delito y la reclamación bancaria tienen funciones diferentes.
¿Puedo esperar trece meses para reclamar?
No es una espera permitida. La ley exige notificación sin tardanza injustificada desde que conoces la operación y establece un límite general de trece meses con sus salvedades.
¿El uso de mi clave demuestra que autoricé el pago?
No necesariamente. El artículo 44 distingue la autenticación de la autorización y exige valorar las pruebas. Explica exactamente qué hiciste y qué información se te mostró.
¿El Banco de España puede obligar al banco a pagarme?
Su procedimiento de reclamaciones emite un informe no vinculante. La exigencia judicial del pago y su ejecución pertenecen a otra vía.
¿Qué pasa si hice yo la transferencia siguiendo instrucciones del estafador?
Debe analizarse específicamente el consentimiento, el engaño y la conducta de los proveedores. No conviene utilizar sin adaptar una reclamación diseñada para pagos ordenados enteramente por terceros.
Esta guía ofrece información general y no sustituye el asesoramiento sobre un caso concreto. Si hay una notificación o un plazo en curso, compruébalo antes de actuar. Comunicar una corrección.