Si has hecho una transferencia porque un correo que parecía de tu proveedor o de un directivo te daba un IBAN nuevo, llama hoy mismo a tu banco para que intente recuperar el dinero y presenta denuncia con todos los datos del pago. Por regla general el banco no responde de una transferencia que tú ordenaste con un IBAN que resultó ser del estafador (art. 59 del Real Decreto-ley 19/2018). Pero desde el 9 de octubre de 2025 tiene que comprobar si el nombre del beneficiario coincide con el IBAN y avisarte si no es así: si no lo hizo y por eso el dinero se fue a otra cuenta, debe devolvértelo.
Las primeras horas: qué hacer y en qué orden
En este fraude no te roban la contraseña del banco: te engañan para que tú mismo ordenes el pago, con un correo que imita al de un proveedor y anuncia un «cambio de cuenta» o con un mensaje urgente de alguien que se hace pasar por el director. El tiempo es lo que más importa, porque una transferencia inmediata llega a la cuenta de destino en un máximo de diez segundos (art. 5 bis del Reglamento (UE) 260/2012).
- Llama a tu banco y confírmalo después por escrito. Pide que contacte con el banco del beneficiario para recuperar los fondos: la ley le obliga a esforzarse razonablemente y al banco receptor a cooperar (art. 59.2 RDL 19/2018).
- Denuncia ante la Policía Nacional, la Guardia Civil o el juzgado de guardia, con la fecha, el importe, el IBAN de destino, el correo falso y la factura, y pide que se bloquee la cuenta de destino: el juez puede acordar primeras diligencias y medidas cautelares (arts. 13 y 764 de la Ley de Enjuiciamiento Criminal).
- Avisa al proveedor real por un teléfono que ya tuvieras: su buzón puede estar comprometido.
- Conserva los correos originales con sus cabeceras, guardados como archivo, y no borres nada.
- Revisa tu propio correo: cambia contraseñas y activa la verificación en dos pasos. Para dudas técnicas tienes el 017 de INCIBE, servicio público, gratuito y confidencial de ayuda en ciberseguridad.
Qué delito es
Engañar a alguien para que haga una transferencia en su perjuicio es una estafa (art. 248 del Código Penal: prisión de seis meses a tres años). Si lo defraudado supera los 50.000 euros, la pena sube a prisión de uno a seis años y multa (art. 250.1.5.º). Si para preparar el engaño entraron en vuestro correo, hay además un acceso ilícito a un sistema de información (art. 197 bis, prisión de seis meses a dos años). La estafa informática del art. 249.1.a castiga conseguir una transferencia no consentida mediante una manipulación informática, por ejemplo entrando en tu banca por internet; ese caso se explica en phishing bancario.
¿Responde el banco?
| Lo que pasó | Regla | Norma |
|---|---|---|
| Ordenaste tú la transferencia con el IBAN que te dio el estafador | La operación está autorizada y se ejecutó bien según el IBAN. El banco no responde, pero debe intentar recuperar el dinero y, si se lo pides por escrito, darte la información que tenga para reclamar | Arts. 36.1, 59.1 y 59.2 RDL 19/2018 |
| El banco no te ofreció la verificación del nombre del beneficiario (obligatoria en la zona euro desde el 9-10-2025) | Si por ese incumplimiento el dinero fue a otra cuenta, debe reembolsarte sin demora | Art. 5 quater.1 y .8 del Reglamento (UE) 260/2012, añadido por el Reglamento (UE) 2024/886 |
| El banco te avisó de que nombre e IBAN no coincidían y seguiste adelante | El banco que cumplió con la verificación no responde del IBAN incorrecto | Art. 5 quater.7 y .8 |
| Los estafadores entraron en tu banca por internet y ordenaron ellos el pago | Operación no autorizada: el banco debe devolverla salvo fraude o negligencia grave que él pruebe | Arts. 36, 44, 45 y 46 RDL 19/2018 |
Si eres una empresa, revisa dos cosas antes de reclamar. Primera: los clientes que no son consumidores pueden renunciar a la verificación del beneficiario cuando envían pagos agrupados (art. 5 quater.6): comprueba si tu empresa lo hizo al configurar sus ficheros de remesas. Segunda: si tu empresa no es una microempresa (deja de serlo si ocupa a diez o más personas o si tanto su facturación como su balance anuales superan los dos millones de euros), el contrato con el banco puede haber excluido parte de las protecciones del RDL 19/2018, entre ellas la carga de la prueba y el reparto de pérdidas de los arts. 44 y 46 (arts. 3.25 y 34.1).
Entre tu empresa y el proveedor: quién pierde el dinero
El proveedor sigue reclamando su factura y tú ya pagaste, aunque a la cuenta equivocada. El Código Civil dice que el pago debe hacerse al acreedor o a quien esté autorizado para recibirlo (art. 1162) y que solo libera al deudor el pago hecho de buena fe «al que estuviere en posesión del crédito» (art. 1164). No hay una regla específica para este fraude: si no hay acuerdo, un juez valorará si el buzón del proveedor estaba comprometido y no avisó, si el cambio de cuenta se aceptó sin comprobarlo o si había señales claras del engaño. Quien reclame al otro el daño causado por su negligencia (art. 1902 CC) tiene un año desde que lo supo (art. 1968.2).
Cómo evitar que vuelva a pasar
- Ningún cambio de IBAN se acepta por correo: se confirma llamando a un número que ya tuvierais.
- Doble revisión para pagos nuevos o urgentes, sobre todo si piden discreción.
- No renuncies a la verificación del beneficiario, que es gratuita (art. 5 ter.2 del Reglamento (UE) 260/2012).
Para la denuncia y para el banco, ten a mano: el justificante de la transferencia, el correo falso con cabeceras, la factura auténtica y la falsa, la hora en que avisaste al banco y el número de la reclamación. El servicio de atención al cliente del banco tiene quince días hábiles para responderte (art. 69 RDL 19/2018).
Preguntas que nos hacéis cada semana
El banco dice que la transferencia fue correcta porque el IBAN existía. ¿Tiene razón?
En principio sí: una orden ejecutada según el identificador único se considera correctamente ejecutada (art. 59.1 RDL 19/2018). Lo que hay que comprobar es si te ofreció la verificación del beneficiario y si te avisó de la discrepancia entre nombre e IBAN.
¿Puedo anular la transferencia?
No unilateralmente: una vez que tu banco recibe la orden, es irrevocable (art. 52.1). Lo que cabe es pedir la recuperación al banco receptor y el bloqueo judicial de la cuenta de destino.
¿Sirve de algo denunciar si el dinero ya se ha movido?
Sí. Sin denuncia no hay investigación ni bloqueo judicial, y el banco te debe facilitar por escrito la información que tenga para que puedas reclamar (art. 59.2). Los plazos y las vías para recuperar lo estafado están en estafa: cómo recuperar el dinero.
El correo falso salió de nuestro buzón hackeado. ¿Tenemos alguna obligación?
Si en el buzón había datos personales de clientes o empleados, puede ser una brecha de seguridad que debéis notificar a la AEPD en 72 horas desde que la conocisteis, salvo que sea improbable que suponga un riesgo (art. 33 RGPD).
Te llama un abogado de derecho digital
en menos de 48 horas.
Sin compromiso y sin coste. Y si hay que actuar, el precio está publicado antes de que nos llames y se paga hasta en 12 cuotas: servicios y precios de derecho digital →
Un abogado te llamará en menos de 48 horas (días laborables). No compartimos tus datos con nadie. También por WhatsApp: 605 443 928
Continúa tu historia
→ Estafa: cómo recuperar el dinero
→ Transferencia a un IBAN equivocado
→ Si entraron en tu banca por internet
→ Cuenta de correo hackeada: cómo recuperarla
→ Cómo denunciar un delito
Marco legal: arts. 197 bis, 248, 249 y 250 del Código Penal · arts. 13 y 764 de la Ley de Enjuiciamiento Criminal · arts. 3.25, 34, 36, 44, 45, 46, 52, 59 y 69 del Real Decreto-ley 19/2018, de servicios de pago · arts. 5 bis, 5 ter y 5 quater del Reglamento (UE) 260/2012, en la redacción del Reglamento (UE) 2024/886 · arts. 1162, 1164, 1902 y 1968 del Código Civil · art. 33 del RGPD · Resolución de 4 de octubre de 2019 (número 017). Contenido revisado por el equipo jurídico de The Juris · octubre de 2026.