Si eres víctima de phishing en el banco, tienes derecho a recuperar todo tu dinero y de forma inmediata. Así lo ha confirmado el Tribunal de Justicia de la Unión Europea (TJUE) en una sentencia dictada el 15 de octubre: el banco debe reembolsarte el importe robado antes de que acabe el día hábil siguiente al de la reclamación, sin poder escudarse en que fuiste descuidado para retrasar o esquivar esa devolución.
Esta decisión cambia las reglas del juego para miles de personas que cada año ven cómo desaparecen cientos o miles de euros de su cuenta y no saben cómo pelear contra su banco. En este artículo te explico qué es exactamente el phishing bancario, por qué la ley está de tu lado y qué pasos concretos debes dar si te ocurre.
El phishing bancario: cuando alguien se disfraza de tu banco
Imagina que llaman a tu puerta. Quien llama viste el uniforme de tu banco, lleva su logo y conoce tu nombre. Tú, confiando, le abres y le das las llaves de casa. Cuando te quieres dar cuenta, ha vaciado el cajón donde guardas el dinero. Eso es, en esencia, el phishing bancario.
Los estafadores crean páginas web, correos electrónicos o mensajes de móvil que imitan con exactitud la apariencia de tu entidad financiera. El objetivo es que tú mismo, creyendo que estás en un entorno seguro, les entregues tus claves, tu número de tarjeta o los códigos de verificación. No rompen la cerradura: tú les abres la puerta.
Las variantes más habituales en España
- Correo electrónico falso: recibes un mensaje que parece de tu banco pidiéndote que «verifiques tu cuenta» con un enlace que te lleva a una web clonada.
- Smishing: el mismo engaño, pero por SMS. El número remitente puede parecer el oficial de tu entidad.
- Vishing: una llamada de teléfono donde alguien que dice ser del servicio de fraudes de tu banco te pide que confirmes datos para «protegerte».
- Aplicaciones falsas: apps que imitan la banca móvil y capturan tus credenciales en cuanto las introduces.
Qué dice la ley: tus derechos reales si eres víctima de phishing en el banco
La normativa europea de servicios de pago, que en España recoge el Real Decreto-ley 19/2018, es clara. Cuando se produce una operación de pago que tú no has autorizado, el banco tiene la obligación de devolverte la totalidad del importe sustraído. No una parte. Todo.
Y no en diez días hábiles ni al mes siguiente. A más tardar, al final del día hábil siguiente a tu reclamación. Ese es el plazo que fija la ley y que ahora el TJUE ha ratificado sin ambigüedades.
El único caso en que el banco puede retener el dinero
Existe una sola excepción: que la entidad tenga indicios fundados de que el propio cliente ha cometido fraude. Es decir, que hayas sido tú quien ha organizado el engaño. En ese supuesto, el banco puede retener los fondos, pero debe comunicarlo por escrito al Banco de España. No puede simplemente decirte que no y punto.
Cualquier otra excusa, como que «no seguiste las recomendaciones de seguridad» o que «fuiste negligente al introducir tus datos», no es suficiente para bloquear la devolución inmediata. El TJUE ha dejado esto muy claro: primero se devuelve y, si después se demuestra negligencia grave del cliente, entonces la entidad puede reclamarle esos importes. El orden importa y favorece al consumidor.
Por qué los bancos se niegan a devolver el dinero y qué puedes hacer tú
La realidad es que muchas entidades, cuando denuncias un caso de phishing, te responden que actuaste de forma imprudente. Lo hacen de manera genérica, sin aportar pruebas concretas. Y ahí empieza tu calvario.
Reclamar al Banco de España no resuelve el problema. El propio supervisor reconoce que determinar si hubo o no negligencia grave escapa a sus competencias y que eso corresponde a los tribunales. En la práctica, el usuario estafado se quedaba solo ante la disyuntiva de aceptar la pérdida o meterse en un proceso judicial, con todo lo que eso implica en tiempo, dinero y energía.
Por eso la sentencia del TJUE es tan relevante y deja claro que el banco no puede retener el dinero mientras discute si fuiste negligente: primero devuelve y después, si puede probarlo, reclama.
Qué hacer si soy víctima de phishing en el banco: guía paso a paso
Si te ha ocurrido o te ocurre, actúa rápido y con orden. El tiempo juega a tu favor si sigues estos pasos.
- Llama a tu banco de inmediato. Solicita el bloqueo de la cuenta o la tarjeta afectada y deja constancia de la llamada. Apunta la hora, el nombre del agente y el número de referencia de la gestión.
- Presenta una denuncia ante la Policía Nacional o la Guardia Civil. Puedes hacerlo de forma presencial o por internet. Ese documento es fundamental para tu reclamación posterior. La Policía Nacional tiene una unidad específica de delitos tecnológicos; puedes informarte en su web oficial en www.policia.es.
- Reclama por escrito a tu entidad bancaria. Envía una carta o correo electrónico al Servicio de Atención al Cliente del banco exigiendo la devolución inmediata del importe sustraído. Menciona expresamente la sentencia del TJUE de 15 de octubre y la normativa de servicios de pago. Guarda copia de todo.
- Si el banco no responde o deniega la devolución, presenta una queja formal ante el Banco de España. Aunque este organismo no pueda obligar al banco a devolverte el dinero, su resolución tiene valor en un proceso judicial posterior.
- Valora la vía judicial. Con la nueva jurisprudencia del TJUE, las posibilidades de éxito han mejorado considerablemente. Organizaciones de consumidores como la OCU ofrecen ayuda para iniciar estas reclamaciones.
Lo que el banco no puede hacer: desmontando sus excusas
He visto muchos casos en que la entidad intenta cerrar la reclamación con frases hechas. Es importante que sepas distinguir lo que tiene base legal de lo que no.
- «Usted introdujo sus datos voluntariamente»: el engaño invalida ese consentimiento. No es lo mismo dar tus datos creyendo que lo haces a tu banco que dárselos a un estafador.
- «No siguió nuestros protocolos de seguridad»: una afirmación genérica no es prueba de negligencia grave. El banco debe concretar qué protocolo y cómo lo incumpliste.
- «La operación se autenticó con su clave SMS»: los estafadores, mediante ingeniería social, pueden conseguir que tú mismo les des ese código creyendo que lo pides tú. Eso no convierte la operación en autorizada.
- «Debe acudir a los tribunales»: cierto que el litigio puede ser necesario, pero el banco no puede usar esa posibilidad como excusa para no devolverte el dinero mientras tanto. La devolución inmediata es la norma, no la excepción.
Conclusión: recupera el control de tu dinero
Si sospechas que has sido víctima de phishing o quieres estar preparado por si acaso, te propongo este ejercicio en tres pasos:
- Guarda el número de atención al cliente de tu banco en un lugar accesible y distinto al móvil principal, por si te lo roban o bloquean.
- Revisa tus movimientos bancarios una vez a la semana. Cuanto antes detectes un cargo extraño, más rápido puedes actuar y más opciones tienes de recuperar el dinero.
- Aprende a identificar los primeros signos de phishing antes de clicar en cualquier enlace: remitente sospechoso, urgencia exagerada, errores ortográficos o un dominio que no coincide exactamente con el de tu banco.
El phishing no va a desaparecer; los estafadores son cada vez más sofisticados. Pero ahora sabes que la ley te protege mejor que antes y que tienes herramientas concretas para pelear. Si este artículo te ha sido útil, cuéntame en los comentarios si has vivido o conoces algún caso similar. Y si quieres seguir aprendiendo a proteger tu dinero, tienes muchos más recursos en el blog, como esta guía para detectar consejos financieros poco fiables en redes sociales.
