Marcos (nombre ficticio) recibe un SMS de «Correos»: su paquete está retenido y debe pagar 1,99 euros de aduanas. La web es idéntica a la real. Introduce su tarjeta y el código que le llega por SMS. Esa noche, dos cargos de 950 euros en una tienda online que no conoce. Este caso enseña la regla que los bancos no siempre aplican: una operación de pago no autorizada se devuelve al día siguiente, salvo que el banco pruebe que el cliente actuó con fraude o negligencia grave; que dar una clave en una web falsa sofisticada no es, en general, negligencia grave; qué diferencia hay con ordenar tú mismo una transferencia engañado; y el camino en cuatro escalones hasta el Banco de España.
Aviso honesto: este caso es inventado con fines didácticos. Las personas, las fechas y las cifras son ficticias; la ley, la jurisprudencia y los plazos que se aplican son reales y están revisados a septiembre de 2026. No publicamos casos reales de clientes: nos lo impiden la protección de datos y el secreto profesional.
La situación
Martes, 19:40. Marcos espera un paquete. El SMS entra en el mismo hilo que los mensajes reales de Correos. La web pide los datos de la tarjeta y, después, «el código de verificación enviado por su banco»; llega un SMS del banco con un código, sin indicar importe ni comercio. Lo introduce. A las 23:10 y 23:14, dos cargos de 950 euros en un comercio de electrónica con sede fuera de España. Marcos ve las notificaciones a la mañana siguiente, llama al banco a las 8:05, bloquea la tarjeta y esa tarde denuncia en comisaría.
El banco contesta a los diez días: operaciones «autenticadas con clave de un solo uso», el cliente «facilitó voluntariamente sus credenciales», no procede devolución. Le recomienda «reclamar al comercio».
La pregunta jurídica
¿Es una operación autorizada porque Marcos tecleó el código? ¿Quién tiene que probar qué? ¿Cuándo hay «negligencia grave» del cliente? ¿Y cambiaría algo si Marcos hubiera hecho él mismo un Bizum a un estafador?
Lo que dice la ley
El Real Decreto-ley 19/2018, de servicios de pago (que transpone la Directiva PSD2), fija tres reglas. Prueba (art. 44): cuando el usuario niega haber autorizado una operación, corresponde al banco demostrar que fue autenticada, registrada y contabilizada; y el mero registro de la operación no basta para probar que el usuario la autorizó ni que actuó con fraude o negligencia grave. Devolución (art. 45): el banco debe devolver el importe de la operación no autorizada de inmediato y, a más tardar, al final del día hábil siguiente a tenerla constancia, salvo que tenga motivos razonables para sospechar fraude del usuario y lo comunique por escrito al Banco de España. Responsabilidad del usuario (art. 46): soporta como máximo 50 euros por operaciones con un instrumento extraviado o sustraído, y el importe total solo si actuó de forma fraudulenta o con negligencia grave en sus obligaciones (art. 41: custodiar las credenciales y avisar sin demora). El usuario debe comunicar la operación sin demora injustificada y, en todo caso, en 13 meses (art. 43). El banco tiene 15 días hábiles para resolver la reclamación (ampliables a 35 en casos excepcionales), y después queda el Departamento de Conducta del Banco de España y la vía judicial. Todo esto vale para operaciones no autorizadas (alguien usa tus datos); si eres tú quien ordena el pago engañado (un Bizum a un falso comprador, una «inversión»), la operación está autorizada y la vía es distinta: penal contra el estafador y, solo en casos concretos, el banco por fallos de vigilancia.
Lo que dicen los tribunales
Las Audiencias Provinciales, de forma mayoritaria, y el Banco de España en sus informes, consideran que caer en un phishing o smishing sofisticado (web clonada, SMS en el hilo real, código enviado sin indicar importe ni beneficiario) no constituye por sí solo negligencia grave, que es un concepto restrictivo reservado a conductas como escribir el PIN en la tarjeta o ignorar avisos evidentes; y que el banco, además, debe acreditar que su sistema de autenticación reforzada informaba al cliente de lo que autorizaba (importe y beneficiario), como exige la normativa técnica de PSD2. Cuando el banco no aporta esa prueba, se condena a devolver con los intereses. Los tribunales distinguen con claridad las transferencias ordenadas por el propio cliente bajo engaño, donde la responsabilidad del banco solo aparece si ignoró señales evidentes de fraude.
La estrategia, paso a paso
- Primeras horas. Bloqueo de la tarjeta, llamada al banco con número de incidencia y, ese mismo día, comunicación escrita (app o correo) negando la autorización de las dos operaciones: el reloj del art. 45 empieza a correr contra el banco.
- Denuncia en comisaría con el SMS, la URL de la web falsa, los cargos y la hora. Es prueba de buena fe y la exigen el banco y el Banco de España.
- Reclamación formal al Servicio de Atención al Cliente del banco: operaciones no autorizadas, art. 45 del RDL 19/2018, petición de devolución inmediata y de la prueba de que la autenticación informó del importe y del comercio (art. 44). Plazo de respuesta: 15 días hábiles. Cumple además el intento de acuerdo previo exigido desde 2025.
- Respuesta negativa del banco (la misma: «facilitó las claves»). No aporta la prueba de qué decía exactamente el SMS de autenticación.
- Reclamación ante el Banco de España (Departamento de Conducta de Entidades), con toda la documentación. En cuatro meses, informe favorable al cliente: el banco no ha acreditado negligencia grave ni que su autenticación reforzada informara del importe y beneficiario; procede la devolución.
- El banco rectifica (los informes del Banco de España no son vinculantes, pero las entidades los siguen en la gran mayoría de casos para evitar el juicio y las costas) y devuelve 1.900 euros con intereses. Si no lo hubiera hecho: demanda de juicio verbal con el informe como prueba principal.
El resultado
Marcos recupera los 1.900 euros cinco meses y medio después del SMS. La clave estuvo en dos detalles: el aviso escrito la misma mañana y la petición al banco de que probara qué información daba su código de un solo uso. Su vecina, que hizo un Bizum de 600 euros a un «comprador» de Wallapop que la convenció para «verificar la cuenta», no recuperó nada: ella ordenó el pago, y esa es otra historia.
Lo que se aprende de este caso:
- Operación no autorizada = el banco devuelve al día siguiente, salvo que pruebe fraude o negligencia grave tuya. La prueba es del banco (art. 44).
- Caer en un engaño sofisticado no es negligencia grave. Escribir el PIN en la tarjeta o dar las claves a quien llama «del banco» tras avisos evidentes, sí puede serlo.
- Avisa por escrito el mismo día y denuncia: sin demora injustificada, y siempre antes de 13 meses.
- Pide al banco la prueba de qué decía el código que introdujiste: si no indicaba importe y beneficiario, su autenticación reforzada falló.
- Si el pago lo ordenaste tú engañado (Bizum, transferencia, «inversión»), no es una operación no autorizada: la vía es la penal contra el estafador, y el banco solo responde en casos muy concretos.
Dónde se pierde este caso en la vida real: ① esperar «a ver si el comercio devuelve» y avisar al banco a las dos semanas; ② no denunciar; ③ aceptar la respuesta del banco como definitiva sin ir al Banco de España; ④ reclamar como «no autorizada» una transferencia que uno mismo ordenó, en vez de plantearla como estafa; ⑤ borrar el SMS y la URL de la web falsa.
Si te pasa algo parecido
→ El mapa completo de los problemas con el banco
→ Transferencia a un IBAN equivocado: ¿responde el banco? (blog)
→ Estafa en compra online: recupera tu dinero por cuatro vías
→ Robo de identidad online: cómo actuar
Te llama un abogado de reclamaciones al banco
en menos de 48 horas.
Sin compromiso y sin coste. Y si hay que actuar, el precio está publicado antes de que nos llames y se paga hasta en 12 cuotas: servicios y precios de reclamaciones al banco →
Un abogado te llamará en menos de 48 horas (días laborables). No compartimos tus datos con nadie. También por WhatsApp: 605 443 928
Marco legal: Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera: arts. 41 (obligaciones del usuario), 43 (comunicación en 13 meses), 44 (carga de la prueba), 45 (devolución inmediata) y 46 (responsabilidad del usuario: 50 euros; fraude o negligencia grave) · Directiva (UE) 2015/2366 (PSD2) y Reglamento Delegado (UE) 2018/389 (autenticación reforzada y vinculación dinámica: importe y beneficiario) · Orden ECE/1263/2019 (transparencia de servicios de pago) · Orden ECC/2502/2012 y Ley 7/2017 (reclamaciones ante el Banco de España) · arts. 248 y 249 del Código Penal (estafa) · criterios del Departamento de Conducta de Entidades del Banco de España y doctrina de las Audiencias Provinciales sobre phishing y negligencia grave · art. 5 de la Ley Orgánica 1/2025. Caso didáctico revisado en septiembre de 2026.