Test phishing bancario: ¿puede reclamar al banco?

¿El banco tiene que devolverme el dinero si soy víctima de phishing?

Cuando se ejecuta una operación de pago que el cliente no ha autorizado, el banco debe devolver su importe de inmediato y, en todo caso, antes del final del día hábil siguiente a aquel en que se le notifica, salvo que tenga motivos razonables para sospechar fraude y los comunique por escrito al Banco de España (art. 45.1 del Real Decreto-ley 19/2018). Si el cliente niega haber autorizado la operación, corresponde al banco demostrar que fue autenticada, registrada y contabilizada y que no se vio afectada por un fallo técnico u otra deficiencia del servicio (art. 44.1), y también probar, en su caso, el fraude o la negligencia grave del cliente (art. 44.3). El Tribunal Supremo aplicó este régimen en la sentencia 571/2025, de 9 de abril, a un caso de duplicado de tarjeta SIM.

¿Qué tipos de fraude bancario existen?

Los más habituales son el phishing (correos falsos), el smishing (SMS fraudulentos), el vishing (llamadas que suplantan al banco), el SIM swapping (duplicado de la tarjeta SIM) y el fraude man in the middle. En todos ellos la primera cuestión es si la operación fue autorizada por el cliente: el régimen de devolución de los artículos 43 a 46 del Real Decreto-ley 19/2018 se refiere a operaciones no autorizadas, mientras que si fue el propio cliente quien ordenó una transferencia a una cuenta equivocada rigen otras reglas (arts. 36 y 59).

Los códigos OTP y la negligencia grave

Un aspecto relevante es cuántos códigos de confirmación (OTP) se facilitaron y qué información contenían los mensajes. La ley no define la negligencia grave; el banco debe probarla y el simple registro de la operación no basta para acreditarla (art. 44.2 y 3). Si el banco no exigió autenticación reforzada, el cliente solo soporta las pérdidas si actuó de forma fraudulenta (art. 46.2). Más información en nuestra guía sobre negligencia grave.

¿Cuánto tiempo tengo para reclamar?

Debe comunicar al banco la operación no autorizada sin demora injustificada en cuanto la conozca y, en todo caso, dentro de los 13 meses siguientes a la fecha del adeudo (art. 43.1 del Real Decreto-ley 19/2018). Para reclamar judicialmente, las acciones personales sin plazo especial prescriben con carácter general a los 5 años (art. 1964.2 del Código Civil), plazo que se interrumpe, entre otros medios, por la reclamación extrajudicial (art. 1973). Más detalles sobre los plazos para reclamar.

¿Necesita ayuda con un fraude bancario?

Le ayudamos a analizar la documentación de su caso y a reclamar al banco la devolución de las operaciones no autorizadas. Puede escribirnos a través de la página de contacto: la consulta por escrito es gratuita.

Preguntas frecuentes

¿El banco tiene que devolverme el dinero si me han hecho phishing?

Si la operación no fue autorizada, el banco debe devolverla de inmediato (art. 45 del Real Decreto-ley 19/2018), salvo que pruebe fraude o negligencia grave del cliente (arts. 44.3 y 46.1) o tenga motivos razonables para sospechar fraude y los comunique al Banco de España. No es automático: depende de cómo se produjo el fraude y de la prueba disponible.

¿Qué es la negligencia grave en el phishing bancario?

Es un incumplimiento cualificado de las obligaciones de custodia de las credenciales (art. 41), que la ley no define y que corresponde probar al banco (art. 44.3). En la STS 571/2025, de 9 de abril, el Tribunal Supremo confirmó la responsabilidad de un banco en un caso de duplicado de SIM porque no acreditó la negligencia grave del cliente.

¿Tengo que asumir alguna parte de lo sustraído?

Con carácter general, el cliente puede tener que soportar hasta 50 € de pérdidas por operaciones no autorizadas, con excepciones; si hubo fraude o negligencia grave del cliente, ese límite no se aplica (art. 46.1). Si el banco no exigió autenticación reforzada, el cliente solo responde en caso de fraude (art. 46.2).

¿Cuánto tarda el banco en contestar a mi reclamación?

El servicio de atención al cliente debe responder en un plazo de 15 días hábiles; en situaciones excepcionales puede enviar una respuesta provisional y dar la definitiva en un máximo de un mes (art. 69 del Real Decreto-ley 19/2018).

¿Qué hago si el banco se niega a devolverme el dinero?

Puede presentar una reclamación ante el Banco de España o acudir a la vía judicial. Antes de demandar, la Ley Orgánica 1/2025 exige con carácter general acreditar un intento previo de negociación o de otro medio adecuado de solución de controversias (art. 5).