Cómo reclamar phishing bancario: guía paso a paso

Para reclamar un phishing bancario hay que bloquear de inmediato los accesos, comunicar las operaciones al banco por escrito sin demora (y nunca después de 13 meses desde el adeudo), denunciar, reclamar ante el Servicio de Atención al Cliente y, si el banco no devuelve el dinero, acudir al Banco de España o a los tribunales. El Real Decreto-ley 19/2018 obliga al banco a reembolsar las operaciones no autorizadas salvo que pruebe que usted actuó con fraude o negligencia grave. Esta guía explica cada paso, sus plazos, los documentos necesarios y lo que cuesta demandar.

Por qué el banco debe devolver el dinero

Ante una operación no autorizada, el banco debe reembolsar «de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente» a aquel en que la haya observado o se le haya notificado, salvo que tenga motivos razonables para sospechar fraude y los comunique por escrito al Banco de España (art. 45 RDL 19/2018). Es el banco quien debe probar el fraude o la negligencia grave del usuario (art. 44.3), y la regla se aplica junto con las de responsabilidad del artículo 46: no es una devolución garantizada en cualquier estafa. Cómo encaja cada modalidad de fraude se explica en la guía sobre fraude bancario: tipos y cómo reclamar.

Sentencias públicas de otros procedimientos, seleccionadas como referencia; no son asuntos de este despacho. El resultado de cada caso depende de sus circunstancias.

• STS 571/2025, de 9 de abril (ROJ STS 1671/2025): la responsabilidad del banco por operaciones no autorizadas es cuasi objetiva, la carga de probar la negligencia grave recae en la entidad y el simple uso de las claves no basta para imputársela.
• SAP Madrid de 17 de abril de 2026 (ROJ SAP M 4955/2026, Caja Rural): aplica esa doctrina y da la razón a la consumidora, aunque el Departamento de Conducta de Entidades del Banco de España no había apreciado quebrantamiento de normas por parte de la entidad.
• SAP Cáceres de 23 de marzo de 2026 (ROJ SAP CC 203/2026): en su fundamento de derecho segundo rechazó que la acción prescribiera al año (art. 1968 CC), como alegaba Unicaja, porque era de responsabilidad contractual por incumplimiento de los contratos de banca a distancia y de cuenta, con un plazo de cinco años.

Hay también sentencias que aprecian negligencia grave, por ejemplo cuando el cliente facilitó varios códigos ignorando mensajes claros que describían la operación: cada caso depende de su prueba. La crónica mensual de sentencias sobre phishing bancario de 2026 recoge las resoluciones de 2026, por mes y por entidad, y la guía sobre phishing bancario y su jurisprudencia analiza la doctrina en detalle.

Paso 1: bloquee los accesos y avise al banco

Cuándo: en los primeros minutos.

Llame al teléfono de emergencias de su banco (en el reverso de la tarjeta o en la app) y pida el bloqueo de las credenciales de banca digital, de las tarjetas y, si es posible, de la cuenta. Anote el número de referencia de la incidencia, el nombre del operador y la hora: salvo actuación fraudulenta, usted no soporta consecuencia económica alguna por el uso del instrumento de pago después de haber notificado el fraude (art. 46.3 RDL 19/2018). Si las transferencias se dirigieron a otra entidad, pida a su banco que solicite de inmediato su retrocesión: cuanto antes, más posibilidades.

Esa llamada no basta: el mismo día conviene comunicar las operaciones por un canal que deje constancia, identificando cada una con su fecha e importe.

Paso 2: presente denuncia

Cuándo: en las primeras 24-48 horas.

La ley no exige la denuncia para que el banco devuelva el dinero, y su ausencia no le autoriza por sí sola a retrasar el reembolso. Aun así, es muy recomendable: el banco puede pedirla en su investigación, deja constancia de cuándo y cómo relató los hechos (aunque no acredita por sí sola que todo sea cierto ni excluye la negligencia grave) y permite a la policía y al juzgado rastrear las cuentas receptoras e intentar bloquear los fondos.

Dónde: en cualquier comisaría de la Policía Nacional o puesto de la Guardia Civil; en Cataluña, País Vasco y Navarra, también ante los Mossos d’Esquadra, la Ertzaintza o la Policía Foral; en el juzgado de guardia o ante el Ministerio Fiscal. La Oficina Virtual de Denuncias de la Policía Nacional (denuncias.policia.es) permite adelantarla por internet en determinados hechos (no, por ejemplo, si hubo violencia o intimidación, el autor es conocido o hay testigos), pero debe firmarse en la comisaría elegida lo antes posible y nunca más tarde de 72 horas; sin esa firma carece de validez jurídica.

Qué incluir: cronología con fecha y hora de cada hecho; tipo de fraude (correo, SMS, llamada, SIM swapping); número, remitente o dirección web falsa; listado de operaciones con fecha, importe, concepto y cuenta de destino; capturas y extractos; entidad y cuenta afectada, y fecha, hora, medio y número de incidencia del aviso al banco. No retrase la denuncia por esperar a reunir todos los documentos: puede aportarlos después. Conserve la copia y el número de atestado.

Después: si no hay autor conocido, el atestado se conserva a disposición del Ministerio Fiscal y de la autoridad judicial (art. 284.2 LECrim), con sus excepciones. No hace falta esperar al resultado penal para reclamar al banco; si llega a haber pleito civil, la posible suspensión por prejudicialidad penal se valora conforme al artículo 40 LEC.

Paso 3: reclamación formal al banco

Cuándo: lo antes posible, sin demora injustificada y, como máximo, dentro de los 13 meses siguientes al adeudo.

Dirija un escrito al Servicio de Atención al Cliente por un medio que deje constancia (burofax, correo certificado, formulario en oficina o canal web) con su identificación y la cuenta afectada, el relato de los hechos, la relación de operaciones no autorizadas, la referencia a la denuncia, la solicitud expresa de reembolso al amparo del artículo 45 del RDL 19/2018 y la cita de la STS 571/2025. Conviene pedir también los registros de autenticación de cada operación. El generador de reclamación por phishing bancario ayuda a preparar el escrito.

En servicios de pago, el banco tiene 15 días hábiles para responder; solo en situaciones excepcionales, por motivos ajenos a su voluntad, puede enviar una respuesta provisional motivada, y la definitiva no puede superar un mes (art. 69 RDL 19/2018). Si deniega el reembolso alegando negligencia, pídale que motive su decisión por escrito: es él quien debe probarla.

Paso 4: reclamación ante el Banco de España

Cuándo: si el banco deniega la reclamación, total o parcialmente, o no contesta en plazo. Es una vía opcional: no es requisito para demandar.

El Servicio de Reclamaciones del Banco de España analiza si la entidad cumplió la normativa de transparencia y protección de la clientela y las buenas prácticas (art. 30 de la Ley 44/2002). No es un tribunal: su informe no es vinculante ni recurrible (art. 30.2) y no obliga a devolver el dinero, y no admite cuestiones cuya prueba solo quepa en juicio ni la cuantificación de daños (art. 10.1 de la Orden ECC/2502/2012). Aun así, puede servir: si el banco rectifica antes del informe, el expediente se archiva (art. 14 de la Orden); si el informe le es desfavorable, debe comunicar en un mes si rectifica (art. 30.3.c de la Ley 44/2002), y un informe favorable puede aportarse al juicio como un elemento más de prueba.

Requisitos: haber reclamado antes al SAC o al Defensor del Cliente, sin plantear hechos distintos; no tener el asunto en los tribunales (art. 10 de la Orden), y no dejar pasar más de un año desde la reclamación a la entidad (art. 18.1.e de la Ley 7/2017). La guía del Banco de España informa también de la inadmisión cuando han pasado cinco años desde los hechos sin reclamación formal; no son plazos de prescripción de la acción judicial.

Cómo: por el Portal del Cliente Bancario de www.bde.es, con certificado digital, DNI electrónico o Cl@ve, o de forma presencial o por correo postal. Adjunte la reclamación al SAC y su respuesta, la denuncia, los extractos y las demás pruebas. Si falta documentación, le darán diez días naturales para completarla, con advertencia de desistimiento (art. 30.3.b de la Ley 44/2002). La entidad puede alegar en 15 días hábiles y usted responder en otros 15 (art. 11 de la Orden). El informe debe emitirse en un máximo de 90 días naturales desde la presentación o desde la documentación completa (art. 30.3.b de la Ley 44/2002, en la redacción de la Ley 10/2025). Si es desfavorable, no impide demandar.

Paso 5: la demanda

Requisito previo. Desde el 3 de abril de 2025, la demanda solo se admite si antes se intentó un medio adecuado de solución de controversias con el mismo objeto (art. 5 LO 1/2025). En las acciones individuales de consumidores, la disposición adicional séptima de la LO 1/2025 permite cumplirlo con la reclamación previa a la empresa cuando no responde en el plazo de la legislación especial o la respuesta no es satisfactoria, y también con la resolución de las reclamaciones financieras del artículo 30 de la Ley 44/2002; no hace falta una segunda negociación si el requisito ya está cumplido y se puede acreditar. Si se acude a una negociación del artículo 7.3, la demanda debe presentarse dentro del año siguiente a la recepción de la solicitud sin respuesta o a la terminación sin acuerdo. Los usuarios no consumidores deben comprobar la vía que les corresponde.

Procedimiento. Hasta 15.000 euros, juicio verbal: el banco contesta por escrito en diez días y solo hay vista si el tribunal la considera necesaria (art. 438 LEC); hasta 2.000 euros no son obligatorios abogado ni procurador (arts. 23 y 31 LEC), aunque es muy recomendable contar con ellos. Por encima de 15.000 euros, juicio ordinario con abogado y procurador, audiencia previa y juicio; como puede ocurrir en los casos de SIM swapping y fraudes combinados, de mayor importe. La duración depende de la carga de cada juzgado; el Consejo General del Poder Judicial publica duraciones medias orientativas. La sentencia puede apelarse ante la Audiencia Provincial en veinte días (art. 458 LEC).

Costes. Los honorarios de abogado se pactan libremente y conviene fijarlos por escrito en la hoja de encargo antes de empezar; los derechos del procurador están sujetos a arancel. Las personas físicas están exentas de tasas judiciales. Si la demanda se estima íntegramente, la regla general es la condena en costas al banco, salvo serias dudas de hecho o de derecho (art. 394 LEC), con el límite de un tercio de la cuantía para los honorarios de abogado, salvo temeridad (art. 394.3). Si es consumidor y reclamó antes extrajudicialmente, esos honorarios pueden incluirse en las costas aunque la intervención no fuera preceptiva (art. 32.5 LEC). No hay costas a favor de quien rehusó sin justa causa participar en un medio adecuado de solución de controversias al que fue convocado (art. 394.1). Si pierde, asumiría sus gastos y, potencialmente, las costas contrarias. Revise si su seguro de hogar o de tarjeta incluye defensa jurídica.

Cuándo puede no compensar: en cuantías muy bajas, en las que los costes pueden superar lo reclamado; cuando hay una negligencia grave evidente, como facilitar muchos códigos ignorando mensajes claros, o cuando la operación no se comunicó al banco dentro de los 13 meses.

En el plano europeo, el Abogado General presentó el 5 de marzo de 2026 sus conclusiones en el asunto C-70/25. No vinculan al Tribunal de Justicia, que a 29 de septiembre de 2026 no había dictado sentencia.

Plazos para reclamar

Los 13 meses no son el plazo para demandar: regulan la notificación necesaria para obtener la rectificación, y aun dentro de ellos un retraso injustificado puede usarse en su contra. El plazo de cinco años exige identificar la acción, la ley aplicable y el día inicial, sin fijar automáticamente la fecha de la operación. Se interrumpe por la reclamación extrajudicial (por ejemplo, un burofax con prueba de su contenido y recepción) y por la demanda (art. 1973 CC), y también por la solicitud al banco de un medio adecuado de solución de controversias que defina el objeto (art. 7.1 LO 1/2025). No dé por supuesto que la reclamación ante el Banco de España protege todos los plazos: la Orden ECC/2502/2012 preserva las acciones, pero su efecto interruptivo depende de la normativa y de las comunicaciones concretas.

Documentos que necesitará

• Capturas del correo, SMS o registro de la llamada fraudulenta y de la web falsa, si la hubo.
• Extractos completos con las operaciones no autorizadas.
• Número de incidencia del aviso telefónico y justificante de la comunicación escrita al banco.
• Copia de la denuncia firmada.
• Reclamación al SAC y respuesta del banco; en su caso, informe del Banco de España.
• Contrato de banca digital y cualquier comunicación con la entidad sobre el incidente.

Si el dinero salió por transferencia o por Bizum, véanse también las guías para recuperar dinero estafado por transferencia bancaria y sobre estafas por Bizum. La página de phishing y fraude bancario describe el servicio del despacho.

Valoración del despacho

Los fallos que más comprometen una reclamación por phishing se cometen en los primeros días, no en el juicio. Conviene notificar al banco por escrito el mismo día, aunque ya se haya llamado, y conservar el justificante; pedir expresamente la retrocesión de las transferencias y el reembolso del artículo 45, y redactar la denuncia y la reclamación con un relato ordenado y preciso, sin suposiciones sobre cómo pudieron obtener las claves. El banco buscará en esas versiones contradicciones que apoyen la negligencia grave, así que lo contado al banco, a la policía y después en la demanda debe coincidir. La respuesta estándar de la entidad («la operación fue autenticada con doble factor») no cierra el caso, porque el registro no basta para probar la autorización ni la negligencia.

Después hay que llevar un calendario: reclamación al SAC y respuesta, acceso al Banco de España si se utiliza, actos que interrumpen la prescripción y acreditación del requisito previo a la demanda, calculando cada plazo por separado y sin confundir los trece meses con el plazo judicial. El Banco de España puede aportar un pronunciamiento técnico, pero no condena ni cuantifica, así que no conviene esperar su informe si los plazos aprietan. Antes de demandar, hay que ordenar la prueba (denuncia, extractos, capturas, reclamación y respuesta), confirmar que la notificación se hizo en plazo y que el requisito previo está cumplido, y pactar por escrito los honorarios, porque la condena en costas no está garantizada y tiene límites. Cada caso exige un análisis individual y nadie puede garantizar el resultado.