En las estafas por Bizum, la posibilidad de recuperar el dinero depende sobre todo de quién dio la orden de pago. Si el Bizum lo ejecutó un tercero desde su cuenta sin su consentimiento, el banco debe devolverlo salvo que pruebe fraude o negligencia grave del usuario; si lo envió usted, engañado, la operación se considera en principio autorizada y la reclamación se dirige sobre todo contra el estafador.
Esta guía explica esa distinción, las modalidades de fraude más frecuentes (incluida la estafa del Bizum por error), los pasos inmediatos, las vías de reclamación y los plazos, y cómo están resolviendo los tribunales.
Operación no autorizada u ordenada por usted: la distinción clave
Si el estafador operó desde su cuenta
Cuando alguien obtiene sus claves o códigos mediante engaño y ejecuta el Bizum desde su cuenta, se trata de una operación no autorizada. El artículo 45 del Real Decreto-ley 19/2018, de servicios de pago, establece que el proveedor de servicios de pago del ordenante «devolverá a éste el importe de la operación no autorizada de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación», salvo que tenga motivos razonables para sospechar la existencia de fraude y comunique esos motivos por escrito al Banco de España.
El banco solo queda exonerado si demuestra que el usuario actuó de forma fraudulenta o que incumplió, deliberadamente o por negligencia grave, sus obligaciones de custodia de las credenciales (art. 46 RDL 19/2018). Fuera de esos casos, la ley permite que el ordenante soporte como máximo 50 euros cuando se ha usado un instrumento de pago extraviado, sustraído o apropiado indebidamente, con las excepciones previstas en el propio artículo 46. La carga de la prueba recae sobre la entidad (art. 44.3): debe demostrar la autenticación correcta, la ausencia de fallos técnicos o deficiencias del servicio y, en su caso, el fraude o la negligencia grave del usuario. Por eso se habla de una responsabilidad cuasi objetiva del banco.
Si fue usted quien envió el Bizum
En el Bizum inverso, la compraventa fraudulenta o la estafa del «me he equivocado», es usted quien acepta o envía el pago, aunque sea engañado sobre el motivo. El banco sostendrá que la operación está autorizada (art. 36 RDL 19/2018) y que el régimen de devolución de los artículos 45 y 46, pensado para operaciones no autorizadas, no le obliga a reembolsarla. Las vías principales son entonces la denuncia penal, para identificar al titular del número o de la cuenta receptora, y la reclamación frente a quien recibió el dinero. Conviene además pedir a su banco por escrito que intente la retrocesión y que conserve los datos de la operación.
Hay supuestos intermedios. Algunos tribunales han condenado al banco cuando fue el propio cliente quien hizo la transferencia siguiendo las instrucciones de un falso empleado que suplantaba a la entidad por su canal habitual: así, la Audiencia Provincial de Ourense en su sentencia de 13 de abril de 2026, SAP Ourense 239/2026 (ROJ SAP OU 280/2026), frente a BBVA. Es un terreno discutido que hay que analizar caso por caso, igual que la posible responsabilidad del banco si hubo circunstancias anómalas que debió detectar. Si el dinero salió por transferencia ordinaria, la guía para recuperar dinero estafado por transferencia bancaria desarrolla esas vías.
Modalidades de estafa por Bizum
Todas comparten un elemento común, el engaño, pero no todas se reclaman igual:
- Bizum inverso: el estafador envía una solicitud de dinero disfrazada de pago. La víctima, creyendo que va a cobrar, la acepta y en realidad envía dinero al delincuente. Es frecuente en compraventas de segunda mano (Wallapop, Milanuncios, Vinted). Aceptar una solicitud de Bizum significa pagar, no recibir.
- Suplantación del banco: llega un SMS o una llamada que parece de su entidad, le alertan de una operación sospechosa y, para «cancelarla», le piden un código. Con ese código, el estafador ejecuta transferencias y Bizums desde su cuenta. Suele tratarse de operaciones no autorizadas.
- Compraventa online: el comprador o vendedor pide el pago por Bizum y desaparece sin entregar el producto o, al revés, usted envía el producto y el pago nunca llega (pantallazos falsos de confirmación).
- Bizum por error: recibe un Bizum o un mensaje inesperado y le piden que «devuelva» el dinero. Se explica a continuación.
La estafa del Bizum por error: cómo funciona y qué hacer
Es una modalidad que aprovecha la buena fe de la víctima, y conviene conocerla antes de devolver nada. El mecanismo suele seguir estos pasos:
- Recibe un Bizum real de un desconocido (por ejemplo, 200 euros) o, en otra variante, solo un mensaje o una solicitud de dinero que aparenta ser un envío.
- Le contactan por teléfono, WhatsApp o SMS diciendo que se han equivocado y le piden que devuelva el dinero, a menudo a un número distinto del que se lo envió.
- Devuelve el importe con un Bizum al número que le indican (o acepta la solicitud, lo que en realidad supone pagar usted).
- El dinero original no era del estafador: si procedía de una cuenta comprometida mediante phishing, su verdadero titular lo reclamará como operación no autorizada, y tanto él como su banco pueden exigirle que restituya ese primer importe.
- Resultado: ha perdido lo que «devolvió» y su cuenta puede haberse utilizado como puente para alejar fondos defraudados de su origen.
Señales de alerta
- Urgencia: el supuesto remitente le presiona para que devuelva el dinero de inmediato.
- Método de devolución: le pide un Bizum a un número diferente del que envió el original.
- Contacto por mensajería: lo prudente es que un error se gestione entre los bancos, no por WhatsApp o SMS con un desconocido.
- Importe redondo: no prueba nada por sí solo, pero, combinado con las demás señales, debe ponerle en guardia.
Si recibe un Bizum que no esperaba
No envíe un Bizum de vuelta. Si el error es real, el remitente debe gestionarlo con su banco y la devolución debe canalizarse entre entidades. Informe a su banco de que ha recibido un Bizum inesperado y de que alguien le pide la devolución, para que le indique el cauce seguro. No acepte solicitudes de dinero que no reconozca y guarde capturas de los mensajes, las llamadas y la notificación del Bizum recibido.
Si ya devolvió el dinero
Avise a su banco de inmediato. Como el Bizum lo envió usted, en principio es una operación autorizada y el banco no está obligado a reembolsarlo; sí puede intentar que la entidad receptora retenga los fondos o solicitar su devolución, aunque el éxito depende de que el dinero siga en la cuenta de destino y, en general, de la colaboración del receptor o de una orden judicial.
Este esquema puede constituir un delito de estafa (art. 248 del Código Penal): engaño bastante, error en la víctima, acto de disposición patrimonial en perjuicio propio o ajeno y ánimo de lucro. Presente denuncia ante la Policía Nacional o la Guardia Civil con números de teléfono, horas, importes y capturas; la investigación puede permitir identificar al titular de la cuenta receptora. Si se le identifica, puede reclamarle la devolución: en el proceso penal, la acción civil se entiende ejercitada junto con la penal salvo que renuncie a ella o se la reserve (art. 112 de la Ley de Enjuiciamiento Criminal), y también cabe la vía civil por responsabilidad extracontractual (art. 1902 del Código Civil) o por cobro de lo indebido (arts. 1895 y siguientes).
Qué hacer si le han estafado por Bizum: pasos inmediatos
- Llame a su banco. Use el teléfono de urgencias que figura en su app o web oficial, bloquee el acceso y notifique la operación. El artículo 41.b) del RDL 19/2018 obliga a comunicarlo sin demora indebida. La rapidez puede ser decisiva para intentar retener los fondos antes de que se muevan a otras cuentas.
- Denuncie. Acuda a comisaría o presente la denuncia en denuncias.policia.es, con capturas de los mensajes, las notificaciones de Bizum, el registro de llamadas y los movimientos bancarios.
- Reclame por escrito al servicio de atención al cliente. Describa los hechos y la fecha, adjunte la denuncia, cite los artículos 44 y 45 del RDL 19/2018 y pida la devolución íntegra. El banco tiene 15 días hábiles para responder (art. 69); en situaciones excepcionales puede enviar una respuesta provisional, pero la definitiva no puede superar un mes.
- Acuda al Banco de España si el banco no responde o deniega. El Servicio de Reclamaciones del Banco de España exige haber reclamado antes a la entidad. Su resolución no es vinculante: si el banco no rectifica, queda la vía judicial.
- Intente la negociación previa y, sin acuerdo, demande. Desde el 3 de abril de 2025, antes de demandar hay que intentar con el banco algún medio adecuado de solución de controversias, como una negociación previa con el mismo objeto que el pleito (art. 5 de la Ley Orgánica 1/2025).
En cuanto a los plazos, la operación debe notificarse sin demora injustificada en cuanto se tenga conocimiento de ella y, en todo caso, dentro de los 13 meses siguientes a la fecha del adeudo (art. 43 RDL 19/2018). La acción judicial prescribe a los cinco años, plazo general de las acciones personales sin plazo especial (art. 1964.2 del Código Civil). La guía paso a paso para reclamar al banco detalla la denuncia, los plazos y el escrito de reclamación.
Según el importe, la demanda se tramita por juicio verbal (hasta 15.000 euros); solo cuando no supera los 2.000 euros puede litigarse sin abogado ni procurador (arts. 23 y 31 LEC). Si la demanda se estima íntegramente, la regla general es la condena en costas al banco (art. 394 LEC), salvo que el tribunal aprecie serias dudas de hecho o de derecho. El resultado depende siempre de la prueba de cada caso.
¿Puede el banco negarse alegando negligencia grave?
Es la defensa habitual de las entidades. Si la operación no fue autorizada, el banco solo puede eludir su responsabilidad si demuestra que el usuario actuó con negligencia grave o de forma fraudulenta (arts. 44.3 y 46 RDL 19/2018), y la jurisprudencia interpreta la negligencia grave de forma restrictiva: exige un nivel de descuido muy superior a la mera negligencia.
Sentencias públicas de otros procedimientos, seleccionadas como referencia; no son asuntos de este despacho. El resultado de cada caso depende de sus circunstancias.
«(…) la negligencia que determina la responsabilidad del cliente es la que se deriva de una conducta caracterizada por un grado significativo de falta de diligencia, lo que supone que la misma surge o se produce por iniciativa del usuario, más no como consecuencia del engaño al que haya podido ser inducido por un delincuente profesional.»
— SAP Cáceres 95/2026, de 23 de marzo de 2026 (ROJ SAP CC 203/2026), FJ 3.º, tras citar el considerando 72 de la Directiva (UE) 2015/2366, según el cual la negligencia grave «tiene que significar algo más que la mera negligencia».
Ser víctima de un engaño sofisticado no equivale, por sí solo, a ser gravemente negligente; los tribunales valoran todas las circunstancias. En el caso de Cáceres, la Audiencia confirmó la condena a Unicaja en un fraude de duplicado de SIM. En la misma línea, la Audiencia de Cantabria señaló: «No resulta proporcionado pretender derivar la negligencia cualificada del cliente medio del hecho de desconocer las advertencias del Banco de España».
Hay excepciones: la Audiencia Provincial de A Coruña (SAP A Coruña 304/2026; Roj: SAP C 1467/2026) dio la razón a Abanca porque el cliente facilitó a su interlocutor, a lo largo de unos veinte minutos, cuatro códigos, tres de ellos incluidos en SMS que indicaban con claridad el importe y la cuenta de destino de cada transferencia.
Sentencias sobre estafas por Bizum
Estas resoluciones, todas sobre operaciones no autorizadas, muestran cómo razonan los tribunales. La crónica mensual de sentencias sobre phishing bancario recoge resoluciones posteriores.
STS 571/2025, de 9 de abril (ECLI:ES:TS:2025:1671)
En el caso resuelto por el Tribunal Supremo (Ibercaja, duplicado fraudulento de la tarjeta SIM del cliente), se ejecutaron de madrugada cinco transferencias y doce operaciones de Bizum, dos de las cuales el sistema rechazó por superar el máximo diario. El Supremo desestimó el recurso del banco y afirmó: «En suma, la responsabilidad del proveedor de los servicios de pago, en los casos de operaciones no autorizadas o ejecutadas incorrectamente, tiene carácter cuasi objetivo». Confirmó que el mero robo de las claves no supone negligencia del usuario y rechazó que la responsabilidad del banco se limitara a sus propios sistemas: además de la autenticación y el registro, debe probar que el servicio no presentó fallos ni deficiencias. También señaló que el proveedor debe detectar los patrones anómalos: «No puede considerarse como normal e irrelevante que una persona que jamás efectúa operaciones de madrugada, de repente, proceda a llevar a cabo hasta diecisiete operaciones seguidas y por un importe tan elevado».
SAP Cantabria 491/2024, de 23 de julio de 2024 (ROJ SAP S 1056/2024, ECLI:ES:APS:2024:1056)
La víctima recibió un SMS que aparecía agrupado con los mensajes legítimos de Unicaja y que la llevó a una web idéntica a la de la entidad, donde introdujo sus claves. Un falso empleado la llamó para «cancelar» una transferencia de 1.950 euros y un Bizum de 490 euros y le pidió el código que iba a recibir; ella lo facilitó. Se ejecutaron esa transferencia, ese Bizum y otros dos Bizums, por 3.390 euros en total. La Audiencia desestimó el recurso del banco, que alegaba negligencia grave, y confirmó la condena: «la valoración de la conducta del cliente debería hacerse partiendo del engaño inicial, y de la creencia de estar compartiendo los datos con el propio banco».
SAP Cádiz 50/2026, de 23 de febrero de 2026 (ROJ SAP CA 497/2026)
Según las trazas aportadas por el propio banco, se dio de alta Bizum con una clave enviada al móvil del titular y, a continuación, se ejecutaron dos transferencias de 2.000 y 3.000 euros; dos intentos de Bizum fueron rechazados por superar el límite diario y, pasada la medianoche, se ejecutaron otras dos transferencias de 2.000 y 3.000 euros: 10.000 euros en menos de tres horas. La Audiencia confirmó la condena a Unicaja: el fraude era apreciable a la vista de la propia forma de las disposiciones, el banco no acreditó negligencia grave, su histórico de SMS, de elaboración unilateral, no bastaba y sus mecanismos de seguridad (doble factor y límite de disposición) se revelaron insuficientes. La sentencia reproduce el pasaje de la STS 571/2025 sobre la obligación de detectar operaciones anómalas.
SAP Navarra 141/2024, de 29 de enero de 2024 (ROJ SAP NA 228/2024)
Se cargaron en la cuenta de la víctima 23 transferencias no autorizadas vía Bizum en dos días. El Juzgado de Primera Instancia n.º 5 de Pamplona estimó la demanda por 3.940 euros y la Audiencia desestimó el recurso de Unicaja: el banco solo aportó siete SMS con claves de seguridad, sin acreditar que el cliente los recibiera, ni demostró que no hubiera fallo técnico o deficiencia del servicio.
TJUE, asunto C-70/25 (Tukowiecka)
En sus conclusiones de 5 de marzo de 2026, el Abogado General propone que el banco no pueda denegar la devolución inmediata alegando negligencia grave del cliente: devolver primero e investigar después. Son conclusiones, no una sentencia del Tribunal de Justicia.
Para un análisis más amplio de la responsabilidad bancaria, puede consultar la guía sobre phishing bancario y su jurisprudencia o el test de phishing bancario. El despacho atiende estos asuntos dentro del servicio de abogado de phishing y estafas bancarias.
Valoración del despacho
En las estafas por Bizum lo primero que el despacho analiza es quién dio la orden. Si el Bizum salió de su cuenta sin que usted lo ordenara, porque alguien accedió a su banca con claves o códigos obtenidos con engaño, la reclamación tiene una base legal sólida: el banco debe probar la negligencia grave, y las sentencias revisadas (Cantabria, Cádiz y Navarra) muestran que no basta con acreditar que se usó el doble factor. Aun así, conviene revisar qué decían los SMS de confirmación: si describían con claridad la operación y se facilitó el código, el riesgo de que se aprecie negligencia grave aumenta. Si fue usted quien aceptó una solicitud o envió el dinero, el artículo 45 no juega a su favor y el esfuerzo debe dirigirse a la denuncia, a identificar la cuenta receptora y a pedir al banco que intente retener los fondos; una reclamación contra el propio banco solo tiene recorrido si hubo operaciones que usted no ordenó o fallos concretos de la entidad.
En todos los casos el tiempo es decisivo. El despacho recomienda actuar el mismo día: avisar al banco por teléfono en minutos, no en días, y dejar constancia escrita; denunciar aportando capturas de la app de Bizum, los SMS, el registro de llamadas y el número, el titular y la hora de cada operación, y pedir al banco los registros de alta en Bizum, de dispositivos vinculados y de los códigos enviados. En el Bizum por error, la prevención vale más que cualquier reclamación posterior: no devolver nada por iniciativa propia y, si recibió dinero de una cuenta ajena, no moverlo y comunicarlo al banco, para evitar reclamaciones y el riesgo de aparecer como intermediario de fondos defraudados. Antes de demandar debe intentarse la negociación previa de la LO 1/2025. Cada caso requiere un análisis individual con la documentación en la mano, y ningún profesional puede asegurar el resultado.
