Recuperar dinero estafado por transferencia bancaria: guía legal

Para recuperar dinero estafado por transferencia bancaria, la vía principal es reclamar al propio banco: si usted no autorizó la operación, el Real Decreto-ley 19/2018, de servicios de pago, obliga a la entidad a devolver el importe salvo que pruebe fraude o negligencia grave por su parte. Si fue usted quien ordenó la transferencia, engañado por un falso empleado del banco o un falso familiar, también puede reclamar, pero es el supuesto más discutido y el resultado depende de los detalles del engaño y de cómo reaccionó.

Esta guía explica qué dice la ley, qué han resuelto el Tribunal Supremo y las Audiencias Provinciales, cuándo puede el banco negarse a devolver, qué vías existen para otras estafas por internet (compras online, Bizum, inversiones) y los pasos y plazos para reclamar.

Qué dice la ley: el banco debe devolver las operaciones no autorizadas

El artículo 45.1 del Real Decreto-ley 19/2018, que incorpora la normativa europea de servicios de pago, establece que, cuando se ejecuta una operación de pago no autorizada, el banco debe devolver el importe de inmediato y, como máximo, al final del día hábil siguiente a aquel en que la haya observado o se le haya notificado. La única salvedad es que tenga motivos razonables para sospechar fraude y los comunique por escrito al Banco de España:

«Sin perjuicio del artículo 43 de este real decreto-ley, en caso de que se ejecute una operación de pago no autorizada, el proveedor de servicios de pago del ordenante devolverá a éste el importe de la operación no autorizada de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación, salvo cuando el proveedor de servicios de pago del ordenante tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España, en la forma y con el contenido y plazos que éste determine. […]»

— Art. 45.1 RDL 19/2018

El artículo 44 invierte la carga de la prueba. Cuando usted niega haber autorizado la operación, no es usted quien debe demostrar que el banco falló: es el banco quien debe probar que la operación fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia. El mero registro de la operación no basta para probar que usted la autorizó. Y su apartado 3 va más allá: corresponde al banco probar que el usuario cometió fraude o negligencia grave.

El artículo 46 completa el sistema: el banco solo puede negarse a devolver si demuestra que usted actuó con fraude o negligencia grave. Si además el banco no aplicó autenticación reforzada (SCA), el artículo 46.2 dispone que el usuario solo responde si actuó de forma fraudulenta, no por negligencia. El resultado es un régimen de responsabilidad cuasi objetiva del banco en las operaciones no autorizadas, como ha recordado el Tribunal Supremo.

¿Cuándo está obligado el banco a devolver el dinero?

Con carácter general, el banco debe devolverle el dinero en estos casos, siempre que no pruebe fraude o negligencia grave por su parte:

• Transferencia no autorizada: alguien accedió a su banca online y realizó una transferencia sin su conocimiento.
• Phishing o smishing: recibió un SMS o un correo electrónico falso que suplantaba a su banco, introdujo sus credenciales en una web fraudulenta y los estafadores hicieron transferencias con sus datos. Es el supuesto más claro para reclamar; la guía sobre phishing bancario, cómo reclamar y jurisprudencia lo desarrolla en detalle.
• Vishing (llamada falsa del banco): le llamaron haciéndose pasar por empleados de su entidad y, bajo engaño, autorizó una transferencia o facilitó códigos OTP. Si fue usted quien ordenó la transferencia, el banco alegará que estaba autorizada; hay Audiencias que aun así condenan al banco cuando el engaño fue sofisticado, pero el resultado depende del caso.
• Duplicado de la tarjeta SIM (SIM swapping): los delincuentes duplican su SIM y ejecutan transferencias desde su cuenta. Es el supuesto que resolvió la STS 571/2025.
• Falta de autenticación reforzada: si el banco no aplicó la SCA, según el artículo 46.2 usted solo responde si actuó con fraude, no por negligencia.

Si la transferencia fue provocada por una estafa por WhatsApp, el procedimiento de reclamación es el mismo. Si duda de si su caso encaja en alguno de estos supuestos, el test de phishing bancario ofrece una primera orientación.

Otras estafas por internet: cómo se recupera el dinero en cada caso

Las vías de recuperación varían según el tipo de fraude. La guía sobre tipos de fraude bancario y cómo reclamar repasa todas las modalidades, incluido el uso fraudulento de datos personales; estos son los supuestos más frecuentes fuera de la transferencia no autorizada:

Compras en webs o a vendedores fraudulentos

Compras en páginas web fraudulentas, vendedores que no entregan el producto o artículos que no corresponden con lo anunciado. Si pagó con tarjeta, puede pedir a su banco que tramite el chargeback (retrocesión del cargo) conforme a las reglas de la red de la tarjeta; la guía sobre fraude con tarjeta de crédito y débito explica cómo reclamar al banco. Si pagó por transferencia, la recuperación depende de la rapidez con que actúe.

Bizum

Las estafas por Bizum adoptan varias formas: el Bizum inverso, los fraudes en compraventa y la estafa del Bizum «por error». Si la operación se ejecutó como resultado de un engaño que permitió a terceros usar sus credenciales (phishing, smishing, vishing), se aplica el mismo régimen de responsabilidad del RDL 19/2018, y hay resoluciones que condenan al banco cuando los Bizum se ejecutaron sin autorización del cliente. Si usted envió voluntariamente el dinero a un vendedor fraudulento, la reclamación frente al banco es mucho más difícil y el caso se encauza como estafa penal con acción civil. Las particularidades de cada modalidad están en la guía sobre cómo reclamar y recuperar el dinero de una estafa por Bizum.

Inversiones fraudulentas y criptomonedas

Plataformas fraudulentas que prometen rentabilidades irreales. La recuperación es más compleja: si fue usted quien ordenó las transferencias, el banco las tratará como operaciones autorizadas, y la reclamación contra él solo prospera en supuestos concretos (por ejemplo, si se acredita una deficiencia relevante en la prestación del servicio). En estos casos la denuncia penal y el rastreo de los fondos cobran especial importancia.

Suplantación de un familiar, un amigo o una empresa

El delincuente se hace pasar por un familiar, un amigo o una empresa para que usted realice transferencias. El banco puede alegar que la operación fue autorizada por el propio cliente, y las Audiencias no siempre resuelven igual; las claves de este supuesto se analizan más abajo, en el apartado sobre las transferencias ordenadas por el propio cliente.

La STS 571/2025: el Supremo califica de cuasi objetiva la responsabilidad del banco

Sentencias públicas de otros procedimientos, seleccionadas como referencia; no son asuntos de este despacho. El resultado de cada caso depende de sus circunstancias.

La Sentencia del Tribunal Supremo 571/2025, de 9 de abril (ROJ STS 1671/2025, ECLI:ES:TS:2025:1671, ponente Manuel Almenar Belenguer) es un pronunciamiento de referencia en materia de fraude bancario online en España. Resolvió el caso de un cliente de Ibercaja víctima de SIM swapping: los delincuentes duplicaron su tarjeta SIM y ejecutaron quince transferencias en una noche por más de 80.000 euros, pese a que semanas antes el cliente había avisado al banco de que recibía SMS con códigos para transferencias que él no había solicitado. El Supremo desestimó el recurso de Ibercaja.

De la sentencia se desprenden tres ideas fundamentales:

1. La responsabilidad del banco es cuasi objetiva: notificada una operación no autorizada, el banco debe responder salvo que acredite fraude, incumplimiento deliberado o negligencia grave del cliente.
2. La carga de la prueba es del banco: debe probar que la operación fue autenticada y que no se vio afectada por un fallo técnico u otra deficiencia del servicio —lo que incluye actuar con la diligencia exigible—, y el simple registro de la operación no basta para demostrar que el cliente la autorizó ni que actuó con negligencia grave.
3. Que un tercero obtenga las claves no equivale a negligencia grave: el Supremo confirmó el criterio de que el mero robo o sustracción de las claves no supone negligencia del usuario, y que las advertencias genéricas o avisos estereotipados del banco no bastan para imputársela.

Las Audiencias Provinciales ya aplican esta doctrina en sus resoluciones de 2025 y 2026, como la SAP Málaga de 13 de mayo de 2025 que se recoge a continuación.

Sentencias de Audiencias Provinciales que obligan al banco a devolver el dinero

La Audiencia Provincial de Lleida (sentencia de 16 de mayo de 2025, ROJ SAP L 379/2025) resume así el criterio general:

«La jurisprudencia reciente es unánime a la hora de sentenciar que el banco debe reembolsar las cantidades sustraídas a su cliente […]. Por lo tanto, generalmente son los bancos los que tienen la obligación de devolver el dinero a la víctima del phishing. La excepción a este criterio es, como hemos adelantado, que el cliente haya cometido una negligencia grave.»

Cuando el banco no acredita el fraude o la negligencia grave del cliente, la condena comprende el importe de las operaciones no autorizadas más intereses. Estos son algunos ejemplos, con su referencia ROJ del CENDOJ:

Algunos de sus razonamientos se repiten en otras resoluciones. La SAP Valencia de 14 de abril de 2026 recordó que «nos hallamos en un régimen de responsabilidad cuasi objetiva o por riesgo» y que «si un banco no ha sido capaz de limitar el acceso al canal de banca electrónica no puede pretender que el presunto ordenante víctima de esta práctica fraudulenta sea el único responsable». La SAP Jaén de 13 de febrero de 2026 concluyó que el error del cliente «no puede entenderse que fuera fácilmente evitable». Y la SAP Madrid de 7 de noviembre de 2024 lo expresó así:

«[…] no podemos calificar la posible negligencia de la demandante en la conservación de sus claves como “grave” en ningún caso. Estamos ante un tipo de fraude muy específico del que es fácil ser víctima, sin que ello implique una actuación negligente del cliente […]»

Estas resoluciones no garantizan el resultado de otro caso: cada Audiencia valora las circunstancias concretas, y también hay sentencias que aprecian negligencia grave del cliente. La crónica mensual de sentencias sobre phishing bancario en 2026 recoge más resoluciones.

¿Cuándo puede el banco negarse a devolver? La negligencia grave

Además de acreditar que la operación estaba autorizada, el banco solo puede evitar la devolución si prueba que usted actuó con fraude o negligencia grave (art. 46 RDL 19/2018). La ley dice «grave», no cualquier descuido, y la carga de probarlo es del banco (art. 44.3). La Audiencia Provincial de Lleida (ROJ SAP L 379/2025) describe así el concepto:

«La Audiencia Provincial de Madrid ha definido la negligencia grave del cliente como una conducta que se produce por iniciativa del usuario y no por consecuencia del engaño realizado por un delincuente profesional. Según esta definición, la persona que ha sido engañada para robarle su identidad no estaría cometiendo negligencia grave.»

Las Audiencias interpretan la negligencia grave de forma restrictiva, aunque atendiendo a las circunstancias de cada caso. En diversas resoluciones no se ha considerado negligencia grave:

• Introducir datos en una web de phishing sofisticada que imita perfectamente al banco.
• Facilitar un código OTP o datos tras una llamada que muestra el número real u «oficial» del banco (spoofing).
• No tener antivirus (SAP Valencia de 14 de abril de 2026).
• Seguir las instrucciones o pulsar el enlace de un SMS recibido en el hilo habitual de la entidad.

Sí se ha considerado, o podría considerarse, negligencia grave:

• Entregar voluntariamente todas las claves a un desconocido sin ningún engaño previo.
• Compartir las credenciales con terceros de forma deliberada.
• Ignorar avisos claros y reiterados del propio banco: en la SAP Barcelona de 9 de marzo de 2026 (ROJ SAP B 2039/2026), el mensaje era burdo y el cliente no atendió los correos con los que el banco le avisaba de los cambios en su contrato.
• Facilitar códigos OTP en repetidas ocasiones sin leer para qué operación eran, tras un SMS recibido fuera del hilo oficial: en la SAP Valladolid de 5 de marzo de 2026 (ROJ SAP VA 292/2026), la clienta lo hizo hasta en diez ocasiones.
• Anotar las claves junto con la tarjeta o instalar software de control remoto a petición de un desconocido.

¿Y si fue usted quien ordenó la transferencia engañado?

Es posible reclamar, pero es el supuesto más discutido. Cuando el propio cliente ordena la transferencia —tras la llamada de un falso empleado del banco, los mensajes de un falso familiar o la captación de una falsa plataforma de inversión—, el banco la tratará como una operación autorizada. La STS 571/2025 resolvió un caso de duplicado de SIM, no una transferencia ordenada por el propio cliente, así que no zanja esta cuestión.

Algunas Audiencias han condenado al banco cuando el cliente ordenó la transferencia engañado por una suplantación sofisticada: por ejemplo, la SAP Ourense de 13 de abril de 2026 frente a BBVA, la SAP Girona de 24 de marzo de 2026 frente a Sabadell o la SAP Baleares de 5 de marzo de 2026 frente a CaixaBank, en el caso del falso hijo. Otras han apreciado negligencia grave cuando el engaño era burdo o el cliente ignoró señales claras. Por eso conviene analizar las circunstancias concretas.

Pasos para recuperar el dinero estafado

1. Avise al banco de inmediato y pida la retrocesión

Las primeras horas son decisivas: cuanto antes actúe, más posibilidades hay de que el banco pueda revertir la transferencia antes de que los estafadores retiren el dinero. Contacte con su entidad, solicite el bloqueo de la cuenta y de las tarjetas comprometidas y pida expresamente la retrocesión de los movimientos no autorizados.

El artículo 41.b) del RDL 19/2018 le obliga a notificar al banco «sin demora indebida» en cuanto tenga conocimiento de la operación no autorizada, y el artículo 43 fija un plazo máximo de 13 meses desde el adeudo. Hágalo por teléfono y por escrito (correo electrónico o burofax) para que quede constancia.

2. Denuncie ante la Policía Nacional o la Guardia Civil

Acuda a la comisaría o al cuartel, detalle las operaciones fraudulentas y conserve la copia de la denuncia: la necesitará para la reclamación al banco. Guarde también capturas de pantalla de los mensajes y correos recibidos. La guía paso a paso para reclamar el phishing bancario desarrolla la denuncia y la reclamación.

3. Reclame por escrito al Servicio de Atención al Cliente

Presente una reclamación escrita al Servicio de Atención al Cliente de su entidad, invocando los artículos 44 y 45 del RDL 19/2018. En las reclamaciones sobre servicios de pago, el banco debe responder en un máximo de 15 días hábiles (art. 69 RDL 19/2018); solo en situaciones excepcionales puede enviar una respuesta provisional motivada, y la definitiva no puede superar un mes. Para otras reclamaciones financieras, el plazo general es de un mes (art. 29.5.b de la Ley 44/2002).

4. Reclame ante el Banco de España

Si el banco no responde en plazo o deniega la devolución, puede acudir al Departamento de Conducta de Entidades del Banco de España. Esta reclamación es gratuita para el usuario, pero el informe del Banco de España, que debe emitirse en un plazo máximo de cuatro meses, no es vinculante para el banco, aunque puede aportarse como prueba documental en un juicio posterior.

5. Intente la negociación previa y, si no prospera, demande

Antes de demandar, la LO 1/2025 exige, como regla general, haber intentado un medio adecuado de solución de controversias con el mismo objeto que la futura demanda (art. 5); conviene preparar la reclamación previa al banco pensando ya en cumplir ese requisito.

Si el banco sigue sin devolver, la demanda judicial es la vía que permite obtener una resolución vinculante. Se tramita por el juicio verbal en las reclamaciones de hasta 15.000 euros y por el juicio ordinario en las cantidades superiores. En el proceso, la carga de la prueba recae sobre el banco: cuando usted niega haber autorizado la operación, es la entidad quien debe demostrar que fue autenticada y no se vio afectada por fallos o deficiencias, y quien debe probar su fraude o negligencia grave (art. 44 RDL 19/2018).

Plazos para reclamar

• Notificación al banco: sin demora injustificada y, como máximo, 13 meses desde la fecha del adeudo (art. 43 RDL 19/2018). Pasado ese plazo, el banco no está obligado a rectificar, salvo que no le hubiera facilitado la información sobre la operación.
• Reclamación judicial: 5 años (art. 1964.2 del Código Civil), plazo de prescripción de la acción de responsabilidad contractual frente al banco. Puede interrumpirse con una reclamación extrajudicial fehaciente (art. 1973 CC).
• Denuncia penal: el delito de estafa (arts. 248 y ss. del Código Penal) prescribe a los 5 años en su modalidad básica y a los 10 años en los tipos agravados del artículo 250, por ejemplo cuando la defraudación supera los 50.000 euros (art. 131 CP).

Marco legal que protege al usuario

• Real Decreto-ley 19/2018, de servicios de pago: establece la responsabilidad cuasi objetiva del banco en las operaciones no autorizadas (arts. 41 a 46).
• Directiva (UE) 2015/2366 (PSD2): obliga a los proveedores de servicios de pago a aplicar autenticación reforzada (SCA) y regula el reparto de responsabilidad en las operaciones no autorizadas.
• Código Penal: tipifica la estafa informática en el artículo 249.1.a) y el uso fraudulento de instrumentos de pago en el artículo 249.1.b).
• TJUE, asunto C-70/25 (Tukowiecka): en sus conclusiones de 5 de marzo de 2026, el Abogado General Rantos sostiene que el banco debe devolver primero el importe (salvo sospecha fundada de fraude) y, si después prueba la negligencia grave del cliente, reclamarle las pérdidas. Son conclusiones, no una sentencia del Tribunal de Justicia.

Preguntas frecuentes

¿Necesito abogado y procurador? ¿Quién paga las costas?

Para reclamaciones de hasta 2.000 euros no es obligatorio abogado ni procurador (arts. 23 y 31 LEC), aunque es muy recomendable. La regla general es la condena en costas a la parte vencida (art. 394 LEC), salvo que el caso presente serias dudas de hecho o de derecho y con los límites legales. Si es consumidor y reclamó antes extrajudicialmente, los honorarios de abogado y procurador pueden incluirse en las costas aunque su intervención no fuera preceptiva (art. 32.5 LEC).

¿Cuánto tarda el proceso judicial?

Depende de la carga de trabajo de cada juzgado y de si el banco recurre en apelación ante la Audiencia Provincial. No es posible garantizar plazos ni resultados: lo determinante es la prueba de cada caso.

Valoración del despacho

Ante una estafa por transferencia o por internet, lo primero que el despacho analiza es quién dio la orden, porque de eso depende el régimen aplicable. Si el estafador operó con sus credenciales (phishing, smishing, duplicado de SIM), la reclamación se apoya directamente en los artículos 44 a 46 del RDL 19/2018, que colocan la carga de la prueba en el banco, y la entidad tiene que probar mucho para no devolver. Si la ordenó usted, engañado por un falso empleado del banco, un falso familiar o una inversión fraudulenta, el banco sostendrá que la operación estaba autorizada y el debate es más incierto: unas Audiencias condenan al banco y otras aprecian negligencia grave, y la discusión se centra en la calidad del engaño y en su reacción: si la llamada procedía del número de la entidad, si el SMS llegó por su hilo habitual, si el interlocutor conocía sus datos y con qué rapidez avisó.

En todos los casos, el despacho recomienda notificar al banco por escrito el mismo día y pedir la retrocesión inmediata de la transferencia y, si la cuenta de destino es de la misma entidad, su bloqueo; denunciar; guardar desde el primer momento capturas, registros de llamadas y justificantes de cada comunicación; no dar por buena sin más la respuesta de «operación autenticada», porque el registro no basta para probar la autorización, y preparar el intento de negociación previa que exige la LO 1/2025 antes de demandar. Con esa documentación se puede valorar con realismo la viabilidad antes de iniciar la negociación y, en su caso, la demanda.