Phishing bancario: cómo evitarlo y cómo reclamar al banco

¿Qué es el phishing bancario y cómo operan los estafadores?

El phishing es un fraude digital en el que los ciberdelincuentes intentan engañar a una persona para que revele información sensible. Se pueden solicitar contraseñas, datos bancarios o el número de la tarjeta asociada a la cuenta bancaria. Para lograrlo, se hacen pasar por entidades de confianza y envían mensajes, correos electrónicos o incluso realizan llamadas que aparentan ser legítimas.

El objetivo es que la víctima facilite sus datos o acceda a enlaces fraudulentos en los que debe introducir sus claves o información bancaria. En algunos casos, estos mensajes incluyen enlaces o archivos que, al abrirse, infectan el dispositivo con programas dañinos (malware). De esta manera, se puede robar información, espiar la actividad del usuario o dañar el funcionamiento del equipo.

Aunque el término phishing tiene su origen en el ámbito tecnológico, este tipo de conductas se considera estafa informática en nuestro país. Es un delito regulado en el artículo 248.2 del Código Penal y, según el Instituto Nacional de Ciberseguridad (INCIBE) y el Banco de España, se trata de uno de los fraudes más comunes en la banca digital.

Qué responsabilidad tiene el banco en casos de phishing

Cuando un cliente sufre un fraude por phishing, es natural que se pregunte si el banco se hará responsable del dinero perdido. Por lo general, las entidades financieras deben proteger los fondos de sus clientes y actuar frente a operaciones no autorizadas, salvo que exista una negligencia grave por parte del usuario.

Según la legislación española, los bancos tienen el deber de proteger el dinero del cliente y devolverlo inmediatamente en caso de fraude. Veamos algunos aspectos clave:

• Devolución inmediata. La Ley 19/2018 de servicios de pago establece que, una vez el cliente notifica una operación no autorizada, el banco tiene la obligación de devolver el dinero lo antes posible. En la práctica, esta devolución debe realizarse preferiblemente antes de que finalice el día hábil siguiente a la notificación.
• Negligencia grave del cliente. El banco solo queda exento de responsabilidad si puede demostrar que el cliente no tomó las precauciones necesarias. Esto ocurre, por ejemplo, cuando el usuario facilita voluntariamente sus contraseñas o códigos de seguridad después de haber recibido varias alertas.

Qué hacer inmediatamente si has sido víctima de phishing 

Si has sido víctima de phishing, lo más importante es actuar rápido para evitar que el daño vaya a más. El Instituto Nacional de Ciberseguridad (INCIBE) recomienda una serie de pasos útiles para protegerte e intentar recuperar tu dinero lo antes posible.

• Bloquea tu cuenta y tarjeta. Contacta con tu banco lo antes posible para informar del fraude y solicitar el bloqueo inmediato de la tarjeta y tu cuenta.
• Cambia tus contraseñas. Actualiza las claves de la cuenta afectada y de cualquier otra donde uses la misma. Es recomendable activar la verificación en dos pasos siempre que se pueda.
• Guarda todas las pruebas. Es esencial conservar todos los correos, mensajes, registros de llamadas o capturas de pantalla que demuestren el fraude. Te serán útiles si tuvieras que presentar la denuncia.
• Denuncia el delito. Presenta una denuncia formal con las pruebas disponibles ante la Policía Nacional o la Guardia Civil.
• Revisa tus dispositivos. Si hiciste clic en algún enlace o descargaste un archivo sospechoso, escanea tus dispositivos con un antivirus o acude a un técnico de confianza para garantizar su seguridad.
• Seguimiento y control. Revisa con frecuencia los movimientos de tus cuentas bancarias para detectar cualquier operación sospechosa a tiempo.
• Reclama al banco. Si tu entidad no te devuelve el dinero, presenta una reclamación interna. Si no se soluciona, puedes acudir al Banco de España o, como última opción, a la vía judicial.

Cómo reclamar al banco el dinero

En los últimos años, los casos de phishing han aumentado de forma notable en España. En 2024, más del 50 % de los fraudes informáticos registrados estuvieron relacionados con este tipo de delito, según varios informes. Además, hay estudios internacionales que señalan que el 80 % de los consumidores españoles recibió intentos de estafa, y un 7 % perdió más de 5.000 euros.

Por eso, cuando ocurre un fraude por phishing, lo normal es que el cliente informe y haga la reclamación. El banco debe devolver el dinero, salvo que pueda demostrar que el cliente actuó con negligencia. Por lo que revisará los movimientos, comprobará las medidas de seguridad y decidirá si devuelve el importe total o solo una parte.

Sin embargo, es habitual que una persona no sepa cómo actuar tras un fraude de este tipo. Por dicho motivo, muchas veces se recurre a un bufete o abogado especializado, que puede asesorar sobre los pasos a seguir y ayudar a reclamar si el banco rechaza la solicitud. Estos profesionales facilitan la redacción de la reclamación, reúnen la documentación necesaria y, si es necesario, pueden presentar la demanda por vía judicial.

Plazos legales y normativa aplicable

En España, la normativa ofrece cada vez mayor protección al usuario. Incluso el Tribunal Supremo ha confirmado que ser víctima de un fraude, sin incurrir en una imprudencia grave, no se considera negligencia. Por ello, se facilita la recuperación de los fondos aplicando la normativa de servicios de pago y las leyes de protección al consumidor.

Marco legal

El Real Decreto-ley 19/2018 de 23 de noviembre, de Servicios de Pago es la principal referencia legal, que obliga a los bancos a devolver las operaciones no autorizadas. Las sentencias recientes del Tribunal Supremo aclaran que la carga de la prueba recae sobre la entidad, que debe demostrar que el usuario actuó con negligencia grave. Además, la Ley de Defensa de los Consumidores protege al usuario frente a prácticas fraudulentas, reforzando sus derechos en estos casos.

• Marco legal y objetivo. El Real Decreto-Ley 19/2018 transpone la Directiva Europea DSP2, creando un entorno más seguro para los usuarios.
• Obligaciones del usuario. Usar los medios de pago según el contrato, proteger las credenciales de seguridad y notificar sin demora cualquier uso no autorizado.
• Obligaciones de las entidades bancarias. Cumplir lo pactado en el contrato, implementar medidas de seguridad, supervisar las operaciones y detectar los pagos no autorizados o fraudulentos.
• Autenticación reforzada. Cada pago debe confirmarse usando al menos dos métodos distintos, como una contraseña, un código del móvil o la huella dactilar. Esto garantiza que la operación la realiza realmente el titular de la cuenta.

Plazos legales para reclamar

El usuario debe notificar el fraude al banco sin demora tras detectarlo. Aunque la ley permite comunicar las operaciones no autorizadas hasta 13 meses después, se recomienda actuar en las primeras 24 a 72 horas después para bloquear los fondos a tiempo. Una vez presentada la reclamación, la entidad tiene un plazo máximo de un mes para responder. Además, el banco deberá bloquear inmediatamente las cuentas y las tarjetas afectadas.

Qué hacer si el banco rechaza tu reclamación

Si tras hacer la reclamación, tu banco la rechaza, no todo está perdido. Existen recursos legales y prácticos que puedes seguir para intentar recuperar tu dinero y proteger tus derechos como cliente.

• Revisa la respuesta del banco. Comprueba las razones del rechazo y los documentos que aportaste.
• Presenta una reclamación interna. Dirígete al servicio de atención al cliente o al departamento de reclamaciones de la entidad.
• Acude al Banco de España. Puedes acudir a este organismo superior que supervisa a las entidades y puede intervenir para proteger tus derechos.
• Consulta a un abogado especializado. Un despacho experto en esta materia puede asesorarte y presentar la denuncia por vía judicial si fuera necesario.

En conclusión, el phishing bancario es una amenaza cada vez más habitual que puede afectar a cualquiera de nosotros. En Javaloyes Legal contamos con una amplia experiencia en casos de fraude financiero y podemos ayudarte a analizar tu situación. Al final se trata de encontrar la mejor solución y recuperar tu dinero lo antes posible. Cada caso es único, por eso estudiamos tus circunstancias para defender tus derechos y protegerte frente a los delitos digitales.