Fraude bancario en España: tipos, cómo actuar y cómo reclamar

El fraude bancario consiste en obtener dinero de una cuenta ajena mediante engaño, manipulación informática o uso fraudulento de un medio de pago, y llega por correo, SMS, llamada, WhatsApp, códigos QR o duplicados de la tarjeta SIM. Si las operaciones las hizo un tercero sin su autorización, el banco debe devolver el importe de inmediato, salvo que pruebe que usted actuó con fraude o negligencia grave (artículos 44 a 46 del Real Decreto-ley 19/2018). Esta guía explica cómo funciona cada modalidad, qué dice la ley y qué pasos dar para reclamar.

Qué normas se aplican

• Vía penal: el Código Penal castiga la estafa informática en el artículo 249.1.a) (manipulación informática para lograr una transferencia no consentida) y el uso fraudulento de tarjetas y otros instrumentos de pago distintos del efectivo en el artículo 249.1.b).
• Vía civil: el Real Decreto-ley 19/2018 de servicios de pago, que transpone la Directiva PSD2, establece una responsabilidad cuasi objetiva del banco frente a las operaciones no autorizadas.

Las dos vías son compatibles: puede denunciar al estafador y, a la vez, reclamar al banco.

La pregunta decisiva: ¿quién dio la orden de pago?

Si un tercero operó con sus credenciales o con un código que le sonsacó, aunque los obtuviera engañándole, es una operación no autorizada: el banco debe devolver y es él quien tiene que probar la negligencia grave. Si fue usted quien hizo el pago convencido por el estafador (el falso hijo que escribe desde un número nuevo, el fraude del CEO o algunos casos de vishing), el banco la considerará autorizada aunque el consentimiento se obtuviera con engaño, y el régimen de devolución de los artículos 45 y 46 puede no aplicarse.

Aun así, puede haber vías: que la operación no llegara a ser realmente consentida (por ejemplo, si creía estar cancelando una operación y no enviando dinero), que el banco no actuara con la diligencia exigible ante una operación claramente anómala o que no prestara bien la verificación del beneficiario. Desde el 9 de octubre de 2025, los bancos de la zona euro deben ofrecer, antes de que usted autorice una transferencia en euros, un servicio que compruebe si el nombre del beneficiario coincide con el titular del IBAN (artículo 5 quater del Reglamento (UE) 260/2012); si no lo prestan correctamente y ese incumplimiento provoca una operación defectuosa, deben reembolsar el importe. La guía para reclamar el dinero estafado por transferencia bancaria desarrolla estos supuestos.

Tipos de fraude bancario

Phishing por correo electrónico

Un correo que imita la imagen de su banco le lleva a una web falsa donde introduce sus credenciales de banca en línea, que el estafador usa para hacer transferencias. La guía sobre phishing bancario y su jurisprudencia lo analiza en detalle.

Smishing: el SMS en el hilo del banco

Es el phishing por SMS. El mensaje alerta de una incidencia («inicio de sesión no autorizado», «cargo no reconocido», «su cuenta será suspendida») e incluye un enlace a una web que imita la del banco; el estafador captura las credenciales en tiempo real. Lo más peligroso es que, en ocasiones, el SMS aparece dentro del mismo hilo que los mensajes legítimos del banco, porque los atacantes falsifican el remitente (el campo «sender ID»). Diversas Audiencias han valorado este spoofing de SMS para descartar la negligencia grave; a la inversa, que el SMS llegara fuera del hilo oficial ha pesado en contra del cliente en algún caso.

Vishing: la llamada desde el número del banco

Le llaman haciéndose pasar por un empleado de su banco y, mediante telefonía VoIP y técnicas de caller ID spoofing, en la pantalla aparece el número real de atención al cliente de la entidad. El esquema habitual: un SMS o correo de alerta genera preocupación; llega la llamada de un supuesto empleado que conoce datos parciales suyos (nombre, DNI, últimas cifras de la cuenta) y le pide «cancelar» o «bloquear» operaciones sospechosas confirmando códigos; mientras habla con usted, un cómplice ejecuta las transferencias, y los códigos que usted «confirma» son los que las validan. Si el número es el del banco, el usuario tiene razones fundadas para confiar, aunque también cuenta lo que pudo comprobar, en especial el texto de los SMS con los códigos.

SIM swapping: el duplicado de su tarjeta SIM

Un tercero obtiene un duplicado de su SIM suplantando su identidad ante la operadora, con datos conseguidos antes por phishing, smishing, vishing o filtraciones. Al activarse, su teléfono pierde la cobertura y los SMS, incluidos los códigos de un solo uso (OTP) del banco, llegan al estafador, lo que anula el SMS como segundo factor de autenticación. Es el supuesto que resolvió la STS 571/2025, y en él al banco le resulta más difícil probar la negligencia grave: los códigos no los entrega el titular, sino que los recibe el duplicado, obtenido engañando a la operadora.

Estafas por WhatsApp

Se usa WhatsApp para suplantar al banco, a un familiar o a un organismo oficial: mensajes de «actualización de datos» con enlace a una web clonada, el familiar que ha «cambiado de número» y pide una transferencia urgente, el falso soporte técnico que le pide compartir pantalla para ver sus claves y códigos, enlaces con premios, multas o paquetes retenidos que instalan programas maliciosos, o perfiles falsos de WhatsApp Business con el logotipo del banco. El canal cambia, pero el marco legal es el mismo: el banco responde por las operaciones no autorizadas con independencia del medio. Cuanto más elaborado y verosímil es el engaño, más difícil es calificar de gravemente negligente a la víctima. Si el pago salió por Bizum, consulte la guía sobre estafas por Bizum.

Quishing: códigos QR fraudulentos

El QR falso aparece en avisos de multa en el parabrisas, pegatinas sobre el QR de los parquímetros, cartas de restaurante, cartas que imitan al banco o a Hacienda, o correos en los que, al ir en una imagen, puede eludir algunos filtros antispam. Escanear un QR es una conducta habitual y, por sí sola, difícilmente es negligencia grave; lo relevante es qué datos se introdujeron después y si se confirmaron operaciones con mensajes que las describían con claridad.

Estafas con sus datos personales

En el spear phishing, el SMS o la llamada mencionan su nombre, los últimos dígitos de su cuenta, su DNI parcial o su oficina. Los datos proceden de filtraciones vendidas en la dark web, de encuestas, ofertas de empleo o sorteos falsos, de las redes sociales o de bases de datos segmentadas. También sirven para pedir un duplicado de SIM o abrir cuentas a su nombre en entidades que no verifican presencialmente la identidad; esas cuentas reciben dinero de otras víctimas y le convierten en «mula» sin saberlo.

Tarjetas, malware y fraude a empresas

• Uso fraudulento de tarjetas: clonación (skimming), robo de datos para compras en línea (carding) y uso de tarjetas robadas, tipificado en el artículo 249.1.b) del Código Penal. Véase la guía sobre el fraude con tarjeta de crédito y débito.
• Malware y man-in-the-browser: un programa malicioso cambia en tiempo real la cuenta de destino o el importe de una transferencia sin que lo vea en pantalla.
• Fraude BEC: se compromete el correo de un proveedor o directivo para enviar instrucciones de pago a cuentas del estafador. Penalmente, cuando el engaño recae sobre quien ordena el pago, suele encuadrarse en la estafa del artículo 248 y no en la estafa informática; y si la propia empresa ordenó la transferencia, puede no encajar en el régimen de operaciones no autorizadas. Véase la guía sobre la estafa del CEO en empresas.

Qué dice la ley: cuándo debe devolver el banco

Devolución inmediata (art. 45 RDL 19/2018). Ante una operación no autorizada, el banco debe devolver el importe de inmediato y, a más tardar, al final del día hábil siguiente a aquel en que haya observado o se le haya notificado la operación. Solo puede retrasarlo si tiene motivos razonables para sospechar fraude del cliente y los comunica por escrito al Banco de España. Es una obligación legal, no una facultad.

Carga de la prueba (art. 44). Si usted niega haber autorizado la operación, el banco debe demostrar que fue autenticada, registrada con exactitud y contabilizada, y que no hubo fallo técnico. El mero registro no basta para probar que la autorizó ni que fue gravemente negligente (art. 44.2), y es el banco quien debe probar el fraude o la negligencia grave (art. 44.3). Que los estafadores conocieran sus datos personales no exonera por sí solo al banco.

Lo que puede soportar usted (art. 46). Como máximo 50 euros cuando la pérdida deriva de un instrumento de pago extraviado, sustraído o apropiado indebidamente; todas las pérdidas, si actuó con fraude o negligencia grave. El banco debe aplicar la autenticación reforzada en los accesos y pagos en línea (art. 68) y, si no la exigió, usted solo responde si actuó de forma fraudulenta (art. 46.2).

Deber de detectar operaciones anómalas. El Reglamento Delegado (UE) 2018/389 exige mecanismos de supervisión que detecten pagos no autorizados o fraudulentos teniendo en cuenta, como mínimo, el importe de cada operación, los supuestos de fraude conocidos, las listas de credenciales comprometidas o las señales de programas maliciosos (art. 2). Varias Audiencias reprochan a las entidades no haber reaccionado ante patrones anómalos (muchas transferencias seguidas, operaciones nocturnas, importes inusuales, cambios de dispositivo) y no consideran suficientes los avisos genéricos.

La operadora y la empresa que filtró sus datos. En el SIM swapping, la operadora puede ser corresponsable si entregó el duplicado sin comprobar la identidad, lo que permite reclamar al banco y a la operadora, acreditando la actuación de cada uno. Si el fraude se apoyó en una brecha de seguridad, la empresa debía notificarla a la Agencia Española de Protección de Datos (AEPD) y, si era probable un alto riesgo, a los afectados sin dilación indebida (arts. 33 y 34 RGPD); puede ser sancionada y usted puede reclamarle una indemnización por los daños materiales o inmateriales (art. 82 RGPD). El artículo 5 de la Ley Orgánica 3/2018 impone, además, un deber de confidencialidad a todos los que intervienen en el tratamiento.

Vía penal. El artículo 249.1.a) del Código Penal castiga con prisión de seis meses a tres años a quien, mediante manipulación informática, consiga «una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro», y el 249.1.b), con la misma pena, el uso fraudulento de tarjetas y otros instrumentos de pago distintos del efectivo. La STS 296/2026, de 22 de abril (Sala de lo Penal, ROJ STS 2032/2026) ha confirmado que esta modalidad tiene autonomía frente a la estafa básica del artículo 248 y no admite degradación a delito leve aunque la cuantía no supere los 400 euros. Si la defraudación supera los 50.000 euros o reviste especial gravedad, atendiendo a la entidad del perjuicio y a la situación económica en que deja a la víctima, el artículo 250 eleva la pena a prisión de uno a seis años y multa de seis a doce meses.

Asunto C-70/25. Las conclusiones del Abogado General de 5 de marzo de 2026 proponen que, en las operaciones no autorizadas, el banco no pueda negarse a la devolución inmediata alegando negligencia grave: primero debe devolver y después, en su caso, reclamar. No son vinculantes; a 29 de septiembre de 2026 el Tribunal de Justicia no había dictado sentencia, y la propuesta no se refiere a transferencias ordenadas por el propio cliente.

Jurisprudencia: el Tribunal Supremo y las Audiencias

La Sentencia del Tribunal Supremo 571/2025, de 9 de abril de 2025 (ROJ STS 1671/2025, ECLI:ES:TS:2025:1671), dictada en un caso de SIM swapping, es el pronunciamiento de referencia: la responsabilidad del banco por operaciones no autorizadas es cuasi objetiva; el mero hecho de que un tercero obtenga las claves del cliente no supone negligencia de este, y las advertencias genéricas o avisos estereotipados no bastan para imputársela; y la carga de probar la negligencia grave corresponde al banco.

Las Audiencias aplican esta doctrina caso por caso. La selección siguiente muestra dónde se traza la línea; la crónica mensual de sentencias sobre phishing bancario de 2026 recoge más resoluciones, por mes y por entidad.

Sentencias públicas de otros procedimientos, seleccionadas como referencia; no son asuntos de este despacho. El resultado de cada caso depende de sus circunstancias.

Smishing y vishing sin negligencia grave

• SAP Madrid de 17 de abril de 2026 (ROJ SAP M 4955/2026, ECLI:ES:APM:2026:4955; ponente: Agustín Manuel Gómez Salcedo; rollo de apelación 1587/2024). Smishing, Caja Rural de Jaén, 5.036 euros. Confirma la condena del Juzgado de Primera Instancia e Instrucción n.º 6 de Leganés (4 de junio de 2024) aunque el banco había denegado la reclamación y el Banco de España no apreció quebrantamiento de normas: «la mera existencia de registros técnicos o de una validación formal de la operación no equivale, por sí sola, a la prueba del consentimiento del ordenante». Valora que Openbank bloqueó de inmediato los intentos sobre otra cuenta de la clienta y Caja Rural no los detectó.
• SAP Madrid de 18 de diciembre de 2025 (ROJ: SAP M 17262/2025; ECLI:ES:APM:2025:17262; ponente: Isabel Serrano Frías; rec. 195/2025). Vishing, Unicaja: llamada desde el número de atención al cliente tras un SMS. Confirma la sentencia del Juzgado de Primera Instancia e Instrucción n.º 3 de Leganés de 19 de junio de 2024 y, con cita de la SAP Valladolid, sección 3.ª, de 19 de octubre de 2022, afirma que «no basta con medidas genéricas de protección o avisos estereotipados de cuidado» y que un control automático del dispositivo, la habitualidad, el número de operaciones, la hora o el destinatario permitiría reforzar la confirmación.
• SAP Cantabria de 13 de abril de 2026 (ROJ: SAP S 624/2026). Unicaja, 7.000 euros: SMS en el canal habitual de la entidad con enlace a una web que imitaba a Liberbank. Desestima el recurso del banco y cita la STS 571/2025.
• SAP Ourense de 13 de abril de 2026 (ROJ SAP OU 280/2026, ECLI:ES:APOU:2026:280). BBVA, 6.005 euros que la propia clienta transfirió tras SMS y una llamada con el identificador manipulado. Desestima el recurso de BBVA, que alegaba no ser responsable de esa manipulación, y confirma la condena a reintegrar la totalidad.
• SAP León de 5 de diciembre de 2025 (ROJ SAP LE 2070/2025, ECLI:ES:APLE:2025:2070). BBVA, 11.174,89 euros: el segundo paso del engaño «venía precedido, motivado y justificado» por el primer SMS y la conducta no era «temeraria ni gravemente negligente».
• Tampoco hubo negligencia grave al facilitar códigos tras una llamada desde el número real del banco (SAP Almería 1055/2025, SAP Málaga 243/2026) ni por no tener antivirus, dato que además debía probar el banco (SAP Valencia 384/2026, ROJ SAP V 699/2026).

SIM swapping

• SAP Jaén (Secc. 1.ª) 260/2026, de 20 de febrero (ROJ SAP J 371/2026). Caja Rural de Jaén, Barcelona y Madrid, 47.064,75 euros en 14 transferencias en dos días. La clienta no podía sospechar el duplicado, su actuación, condicionada por el engaño, no fue negligencia grave aunque antes introdujera sus datos en una web clonada, y la concentración de operaciones debió alertar al banco.
• SAP Zaragoza (Secc. 5.ª) 410/2025, de 20 de mayo (ROJ SAP Z 1361/2025). Condena solidaria de Ibercaja y Telefónica de España por 13.447,94 euros: la tienda entregó el duplicado sin comprobar la identidad y el banco no probó que fueran habituales cuatro transferencias nocturnas de 3.500 euros.
• SAP Cáceres (Secc. 1.ª) 95/2026, de 23 de marzo (ROJ SAP CC 203/2026). Unicaja (antes Liberbank), 43.073,46 euros, con 33 reintegros en cajero pese al límite de disposición.
• SAP Cantabria (Secc. 2.ª) 193/2026, de 25 de marzo (ROJ SAP S 591/2026). Unicaja, 11.091,26 euros, con aplicación de la STS 571/2025.

Casos con negligencia grave

• SAP Valladolid de 5 de marzo de 2026 (ROJ SAP VA 292/2026, ECLI:ES:APVA:2026:292). Bankinter: la clienta facilitó códigos en 10 ocasiones sin verificar su motivo, y el SMS no llegó por el hilo oficial.
• SAP Barcelona de 9 de marzo de 2026 (ROJ SAP B 2039/2026, ECLI:ES:APB:2026:2039). BBVA, 13.904,50 euros: SMS burdo, correos del banco sobre cambios en el contrato ignorados y reacción tardía.
• SAP Cantabria de 14 de abril de 2026 (ROJ: SAP S 648/2026). Unicaja: los SMS con los códigos describían cada operación (vincular un dispositivo, contratar una tarjeta prepago, transferir a una cuenta en CaixaBank) y advertían en mayúsculas de no compartirlos; el usuario tampoco aportó el SMS ni el enlace de la web falsa.

En resumen: si el engaño llegó por canales que aparentaban ser del banco y el cliente no pudo advertirlo, no se aprecia negligencia grave; puede apreciarse si ignoró mensajes que describían cada operación, autorizó muchas operaciones sin verificar, desatendió avisos claros o entregó sus claves sin engaño previo.

Qué hacer si es víctima de fraude bancario

1. Bloquee la banca en línea y las tarjetas llamando a su banco. Si el móvil ha perdido la señal, llame también a la operadora para saber si se pidió un duplicado de la SIM.
2. Conserve las pruebas sin borrar nada: el hilo completo de SMS del banco y el texto literal de los mensajes con códigos, el registro de llamadas, la conversación de WhatsApp, el historial del navegador, la foto y la ubicación del QR y los extractos.
3. Notifique al banco por escrito. El artículo 41.b) del RDL 19/2018 exige comunicar la utilización no autorizada «sin demora indebida», y el artículo 43 fija un máximo de 13 meses desde el adeudo. Hágalo por teléfono y por escrito (correo electrónico o burofax), invoque los artículos 44 y 45 y exija la devolución inmediata.
4. Denuncie ante la Policía Nacional o la Guardia Civil con capturas y extractos (la denuncia por internet debe firmarse después en comisaría). No es requisito legal para reclamar al banco, pero documenta los hechos y las entidades suelen pedirla.
5. Reclame ante el Servicio de Atención al Cliente si no le devuelven el dinero en plazo. Tiene 15 días hábiles para responder, ampliables hasta un mes en situaciones excepcionales (art. 69).
6. Acuda al Banco de España si deniegan la reclamación o no contestan. Es una vía opcional: no es requisito para demandar y su resolución no obliga al banco.
7. Intente la negociación previa y, si no hay acuerdo, demande. Antes de demandar debe intentarse un medio adecuado de solución de controversias (art. 5 LO 1/2025). La guía paso a paso para reclamar por phishing bancario detalla cada trámite.

Para una primera orientación, puede usar el test de phishing bancario.

Plazos importantes

• Comunicación al banco: sin demora injustificada y, como máximo, 13 meses desde el adeudo (art. 43 RDL 19/2018).
• Denuncia penal: la estafa castigada con prisión de hasta tres años prescribe a los cinco años; la agravada del artículo 250 CP (hasta seis años de prisión), a los diez (art. 131 CP).
• Acción civil contra el banco: con carácter general, cinco años (art. 1964.2 del Código Civil). La SAP Cáceres 95/2026 rechazó el plazo de un año de la responsabilidad extracontractual (art. 1968 CC) porque la acción es contractual.

Cómo protegerse

• No pulse enlaces de SMS, correos o WhatsApp que le pidan credenciales; entre en la app o escriba usted la dirección. Desconfíe de la urgencia.
• El banco no debería pedirle su contraseña completa, su PIN ni los códigos que recibe por SMS. Lea siempre el SMS con el código: si dice «confirmar» o «autorizar» y se lo han pedido para «anular» o «proteger», es un fraude.
• Ante una llamada sospechosa, cuelgue y llame usted al número de su tarjeta o de la app; si un familiar le pide dinero desde un número nuevo, llámele al de siempre.
• Con los QR, compruebe que no hay una pegatina superpuesta y mire la dirección antes de introducir datos (por ejemplo, bbva-verificacion.com en lugar de bbva.es).

Preguntas frecuentes

¿Necesito abogado para reclamar al banco?

Para la reclamación extrajudicial (al banco y al Banco de España), no. En juicio, no es obligatorio abogado ni procurador si la cuantía no excede de 2.000 euros; por encima, su intervención es preceptiva. Aun así, conviene contar con asesoramiento desde el principio para orientar bien la reclamación.

¿Qué pasa si el estafador está en el extranjero?

La acción penal se complica, pero la reclamación civil no: su banco es una entidad española y responde ante los tribunales españoles, esté donde esté el estafador.

¿Qué hago si mis datos se han filtrado, pero aún no hay cargos?

Cambie la contraseña de la banca en línea, el PIN de las tarjetas y cualquier credencial comprometida, y pida al banco medidas adicionales (alertas por operación, límites de transferencia reducidos, verificación de operaciones no habituales). Si la filtración vino de una empresa, puede reclamar ante la AEPD, y también puede denunciar el acceso ilícito a sus datos aunque no haya fraude.

¿Y si han abierto una cuenta bancaria a mi nombre?

Denuncie ante la Policía por suplantación de identidad y contacte con la entidad donde se abrió la cuenta y con la AEPD. Si le incluyen en ficheros de morosos por deudas de esa cuenta, puede reclamar por vulneración del derecho al honor.

Valoración del despacho

La distinción más importante en fraude bancario no es la técnica que usó el estafador, sino quién dio la orden de pago. Si operó un tercero con sus credenciales o con un código que le sonsacó, el banco debe probar la negligencia grave y la reclamación tiene una base legal sólida; si fue usted quien ordenó la transferencia, la reclamación es más compleja y conviene centrarse en incumplimientos concretos de la entidad o en otras vías, como la diligencia de la entidad receptora o el procedimiento penal.

Por eso, antes de reclamar conviene reconstruir con precisión la secuencia: qué mensajes llegaron y por qué canal, qué datos se facilitaron, quién introdujo cada código y en qué dispositivo. El resultado depende de detalles muy concretos: si el SMS llegó por el hilo habitual o por uno nuevo, si el texto del código revelaba la operación real, cuántas veces se facilitaron códigos y con qué rapidez se avisó al banco. Es útil pedir por escrito al banco los registros de acceso, operaciones, dispositivos vinculados y alertas antifraude y, en el SIM swapping, a la operadora la documentación del duplicado (canal, tienda, identificación exigida), para decidir si se reclama también a ella.

Lo que más suele perjudicar al cliente es haber facilitado códigos cuyos SMS describían con claridad la operación, así que conviene revisar esos mensajes antes de reclamar. Si antes se facilitaron claves por un enlace falso, es mejor no ocultarlo: los tribunales analizan esa conducta en el contexto del engaño, y explicarla desde el principio evita contradicciones que el banco pueda aprovechar. Y hay que actuar rápido: el aviso inmediato al banco permite intentar la retrocesión de los fondos y es la primera prueba de su diligencia.