Si te han vaciado la cuenta o han hecho cargos que tú no autorizaste —phishing, SMS falso, duplicado de SIM, un Bizum que no hiciste—, la ley está de tu lado más de lo que el banco te va a contar: la responsabilidad del banco es cuasi objetiva y, salvo que él pruebe fraude o negligencia grave tuya, debe devolverte el dinero. Que los ladrones usaran tus claves no significa que tú autorizaras nada: lo dice el Tribunal Supremo y lo dice Europa. Actúa rápido con los pasos de abajo.
⏱ Las primeras 24 horas (haz esto YA, en este orden):
1. Llama al banco y bloquea tarjetas, banca online y Bizum. Anota hora y nombre de quien te atiende.
2. Denuncia en Policía Nacional o Guardia Civil con el detalle de las operaciones.
3. No borres nada: SMS, emails, capturas, números desde los que te llamaron. Son tu prueba.
4. Reclama por escrito al banco (app, email o burofax) exigiendo la devolución de las operaciones no autorizadas.
5. Si te duplicaron la SIM, reclama también a tu operadora.
La regla que lo cambia todo: el banco responde salvo que pruebe lo contrario
Los pagos electrónicos en España se rigen por el Real Decreto-ley 19/2018, de servicios de pago, que traspone la directiva europea PSD2. Su régimen para las operaciones no autorizadas es demoledor para la banca: cuando comunicas una operación que no autorizaste, el banco debe devolverte el importe de inmediato —como tarde, antes del final del día hábil siguiente— y restablecer tu cuenta al estado anterior al cargo. Solo puede retener la devolución si tiene motivos razonables para sospechar fraude tuyo y lo comunica al Banco de España.
El Tribunal Supremo consolidó este sistema en la STS 571/2025, de 9 de abril, la sentencia de referencia en fraude digital. Su doctrina define la responsabilidad del banco como cuasi objetiva, y lo explica en un doble sentido que conviene entender porque es tu escudo en la reclamación: primero, notificada la operación no autorizada, el banco responde salvo que él acredite tu actuación fraudulenta o tu negligencia grave; y segundo, cuando tú niegas haber autorizado la operación, es el banco quien carga con probar que la operación fue autenticada, registrada con exactitud, contabilizada y que no se vio afectada por ningún fallo técnico ni deficiencia del servicio. El simple registro informático de la operación no basta.
La regla clave (y viene de Europa): el registro de que se usó tu instrumento de pago «no bastará, necesariamente, para demostrar que la operación de pago fue autorizada» por ti, ni que actuaras con fraude o negligencia grave (art. 44.2 del RDL 19/2018, que traspone el art. 72.2 de la Directiva PSD2). Traducción: que la transferencia saliera con tus claves y hasta con doble factor no basta, por sí solo, para tenerla por autorizada si tú no la hiciste. Ese es exactamente el argumento con el que el banco intentará despacharte, y por sí solo no le sirve.
El listón del banco: «ordenado y experto comerciante», no espectador
La diligencia que se exige a la entidad no es la de un particular cuidadoso, sino la de un profesional experto de la banca (el clásico bonus argentarius). Eso significa sistemas capaces de detectar patrones anómalos: varias transferencias seguidas, en horarios inusuales, por importes altos, hacia cuentas nuevas. En el caso que resolvió la STS 571/2025 —un duplicado de SIM que permitió interceptar los SMS de autenticación y ejecutar diecisiete operaciones de madrugada— el cliente incluso había avisado de señales sospechosas, y la entidad no reforzó la autenticación ni bloqueó nada. Resultado: responsabilidad del banco. Y un detalle más: si eres consumidor, las cláusulas de tu contrato que exoneren al banco en estos casos no valen, porque este régimen solo puede excluirse por pacto con quien no es consumidor ni microempresa (art. 34.1 RDL 19/2018).
«Pero fui yo quien metió las claves…» — la negligencia grave no se presume
Aquí es donde el banco gana los casos que gana, así que seamos precisos. La ley solo le permite negarse si prueba tu fraude o tu negligencia grave. Y la jurisprudencia es constante: haber sido engañado no es negligencia grave. Los fraudes actuales son sofisticados —SMS que entran en el mismo hilo que los mensajes reales de tu banco, webs clonadas idénticas, llamadas que muestran el teléfono oficial de la entidad—. Caer en un engaño diseñado por profesionales para parecer verdad no es una infracción cualificada de tus deberes: es la razón de ser del sistema de protección. La negligencia grave exige algo palmario, causal y cualificado.
| Escenario | ¿Responde el banco? | Por qué |
|---|---|---|
| SMS falso en el hilo real del banco, entras y meten cargos | Sí, regla general | Engaño cualificado; el spoofing del hilo juega contra el banco |
| Web clonada tras un email de «tu banco» | Sí, regla general | Ser engañado no es negligencia grave |
| Duplicado de SIM (SIM swapping) | Sí | Es el supuesto de la STS 571/2025; el fallo de seguridad no es tuyo |
| Compartes tus claves voluntariamente con un tercero que luego opera | Difícil | Cesión voluntaria de credenciales: aquí sí puede apreciarse negligencia grave |
| Tardas meses en avisar tras ver los cargos | En riesgo | El aviso debe ser sin demora injustificada; el tope absoluto son 13 meses |
Cuánto recuperas: el ejemplo con números
Madrugada del sábado: 4 transferencias de 1.600 € cada una (6.400 €) y dos Bizums de 500 € (1.000 €) que tú no hiciste. Regla legal: el banco debe reintegrar los 7.400 € íntegros —los Bizums también: son operaciones de pago con el mismo régimen— antes del final del día hábil siguiente a tu comunicación, con fecha valor no posterior a la del cargo (art. 45.1 RDL 19/2018). La famosa «franquicia» de 50 € solo juega para pagos hechos con un instrumento extraviado, sustraído o apropiado indebidamente antes de que avisaras, y no se aplica, entre otros casos, si no podías detectar la pérdida, si la causaron empleados o agentes del banco (art. 46.1) o si el banco no exigió autenticación reforzada (art. 46.2).
Cómo reclamar, paso a paso
- Aviso y bloqueo inmediatos + denuncia policial (cuadro naranja de arriba). La denuncia no es un trámite decorativo: acredita tu buena fe, fija los hechos y desactiva la sospecha de fraude propio.
- Reclamación escrita al banco citando los arts. 44 y 45 del RDL 19/2018 y la STS 571/2025: devolución inmediata de cada operación no autorizada con restitución de la cuenta al estado anterior. Adjunta denuncia y listado de operaciones. Si contestan con el mantra de «la operación se validó con sus claves», ya sabes por el cuadro verde que ese argumento está muerto.
- Sin respuesta o con negativa: burofax al Servicio de Atención al Cliente, que en servicios de pago tiene 15 días hábiles para responder, ampliables excepcionalmente hasta un mes con respuesta provisional (art. 69 RDL 19/2018). Si la reclamación invita a negociar y puedes probar que la recibieron, sirve además para acreditar el intento de negociación que exige la LO 1/2025 para demandar (arts. 5.1 y 10.2). El circuito completo, con el escalón del Banco de España incluido, está en el procedimiento maestro de reclamación. Si el banco no te entrega los justificantes o registros que pidas, tienes el nodo de documentos.
- Demanda. Con la doctrina del Supremo y la carga de la prueba sobre el banco, estos pleitos se ganan con mucha frecuencia cuando el aviso fue rápido y hay denuncia. Tras la sentencia o el acuerdo: «He ganado: ¿y ahora qué?».
Errores que arruinan reclamaciones ganadas
- Esperar «a ver si el banco lo soluciona solo». El aviso sin demora es tu primera obligación legal; cada día de silencio alimenta el argumento de la negligencia.
- No denunciar porque «total, no van a pillar a nadie». La denuncia no busca al ladrón: te protege a ti.
- Aceptar el primer «no» del banco. «Usted validó la operación» es su respuesta estándar y, por sí sola, es jurídicamente insuficiente (art. 44.2 RDL 19/2018).
- Borrar el SMS o el email del fraude por rabia o vergüenza. Es la prueba del engaño cualificado.
- Contarle al banco más de la cuenta por teléfono sin dejar rastro escrito. Todo por escrito, siempre.
Te llama un abogado de reclamaciones al banco
en menos de 48 horas.
Sin compromiso y sin coste. Y si hay que actuar, el precio está publicado antes de que nos llames y se paga hasta en 12 cuotas: servicios y precios de reclamaciones al banco →
Un abogado te llamará en menos de 48 horas (días laborables). No compartimos tus datos con nadie. También por WhatsApp: 605 443 928
Continúa tu historia
- El banco no me hace caso: dónde reclamar y qué conseguir en cada paso
- El banco no me entrega mis documentos: cómo obligarle
- El banco me ha bloqueado la cuenta: qué hacer
- He ganado mi reclamación al banco: qué hacer ahora
- Tengo un problema con el banco: el mapa completo
- Qué puedes conseguir si reclamas al banco: dinero y efectos
- ¿Merece la pena reclamar al banco? Números para decidir
Preguntas que nos hacéis cada semana
¿Me lo tienen que devolver aunque las claves las metiera yo en la web falsa?
Como regla, sí. Meter tus claves en una web clonada tras un engaño cualificado no es negligencia grave: es la víctima del delito, no su cómplice. El banco solo se libra si prueba una infracción palmaria y cualificada de tus deberes — y esa prueba le corresponde a él, no a ti.
¿Cuánto tarda el banco en devolver, según la ley?
De inmediato y, como tarde, antes del final del día hábil siguiente a tu comunicación (art. 45 RDL 19/2018). Otra cosa es lo que hacen: por eso la reclamación escrita con cita legal desde el primer día marca la diferencia.
¿Cuánto tiempo tengo para reclamar?
Debes comunicar la operación en cuanto la detectes, sin demora injustificada, y en todo caso dentro de los 13 meses desde el cargo. El alcance exacto del «sin demora» es materia viva en Europa (el TJUE lo perfiló en agosto de 2025, asunto C-665/23): no juegues con ese margen — avisa el día que lo veas.
¿Los Bizums que no hice también me los devuelven?
Sí. Bizum es una operación de pago como una transferencia y tiene exactamente el mismo régimen de devolución de operaciones no autorizadas.
¿Es obligatoria la denuncia policial para reclamar?
Legalmente lo exigible es la comunicación al banco, pero en la práctica la denuncia es casi imprescindible: acredita los hechos, tu buena fe y tu rapidez, y desmonta la única salida del banco (atribuirte el fraude).
Soy autónomo o empresa. ¿Me protege igual?
Ojo aquí: si no eres consumidor ni microempresa, la ley permite pactar que no se apliquen, entre otras, las reglas de prueba y de franquicia (arts. 44 y 46), y con cualquier no consumidor puede pactarse un plazo de aviso distinto de los 13 meses (art. 34.1 RDL 19/2018). Revisa si tu contrato lo hace. No significa que no puedas reclamar —la diligencia del banco sigue siendo exigible—, pero tu contrato hay que leerlo antes de diseñar la estrategia. Tráenoslo.
El banco dice que la operación «consta autorizada con doble factor». ¿Fin?
No: es el principio. La autenticación técnica correcta no basta por sí sola para probar tu consentimiento (art. 44 RDL 19/2018 y STS 571/2025). El banco tiene que probar además que no hubo ninguna deficiencia del servicio — y en un fraude consumado, esa prueba se le suele atragantar.
¿Te han vaciado la cuenta? Cuéntanos qué ha pasado y en qué fecha: te decimos si tu caso encaja en la doctrina de devolución y montamos la reclamación completa. Estudiamos tu caso sin compromiso.
Marco legal de esta página
Real Decreto-ley 19/2018, de servicios de pago, arts. 34, 36, 41, 43, 44, 45, 46 y 69 (régimen imperativo con consumidores y microempresas; comunicación sin demora y tope de 13 meses; carga de la prueba del proveedor; devolución inmediata; franquicia máxima de 50 € y sus excepciones; 15 días hábiles de respuesta del servicio de atención al cliente) · Directiva (UE) 2015/2366 (PSD2) · STS 571/2025, de 9 de abril (responsabilidad cuasi objetiva del proveedor; doble carga probatoria; diligencia de ordenado y experto comerciante) · STJUE de 1 de agosto de 2025 (C-665/23, sobre el deber de aviso sin demora — materia viva) · LO 1/2025 (MASC, requisito de procedibilidad civil). Revisado por el equipo jurídico de The Juris · octubre de 2026.