Fraudes Bancarios
Phishing, vishing, smishing, cargos no autorizados, suplantación de identidad, clonación de tarjetas y estafas de inversión bancaria
El fraude bancario es el tipo de delito financiero que más crece en España. Según el Banco de España, las operaciones de pago fraudulentas superaron los 620 millones de euros en 2023, y las reclamaciones de clientes no dejan de aumentar año tras año. Los métodos de los estafadores son cada vez más sofisticados: phishing (correos electrónicos falsos que imitan a tu banco), vishing (llamadas telefónicas donde se hacen pasar por empleados bancarios con caller ID falsificado), smishing (SMS fraudulentos con enlaces maliciosos), cargos no autorizados en tarjetas de crédito y débito, suplantación de identidad para abrir cuentas o contratar préstamos a tu nombre, clonación de tarjetas mediante dispositivos skimmer en cajeros automáticos, y estafas de inversión canalizadas a través de productos bancarios complejos. La Directiva europea PSD2, transpuesta en España mediante el Real Decreto-ley 19/2018, establece que el banco es responsable de devolver el dinero en operaciones no autorizadas salvo que demuestre negligencia grave del cliente. Esto significa que, en la inmensa mayoría de los casos, el banco debe asumir las pérdidas. Sin embargo, las entidades rechazan sistemáticamente las reclamaciones alegando "negligencia del usuario", obligando a los afectados a acudir al Banco de España o a los tribunales. La reclamación colectiva multiplica la presión sobre la entidad y reduce los costes legales para cada afectado.
Problemas más habituales
Correos electrónicos que imitan perfectamente la imagen corporativa de tu banco (CaixaBank, BBVA, Santander, etc.) con enlaces a páginas web falsas idénticas a la banca online real. Te piden introducir tus credenciales, códigos de seguridad o datos de tarjeta. En 2023, el INCIBE gestionó más de 83.000 incidentes de phishing en España, siendo el sector bancario el principal objetivo.
El estafador te llama haciéndose pasar por un empleado de tu banco, utilizando spoofing de caller ID para que aparezca el número real de la entidad en tu pantalla. Te avisan de una "operación sospechosa" y te piden que confirmes datos, proporciones códigos OTP que llegan por SMS, o que instales una app de "seguridad" que en realidad da control remoto de tu dispositivo. Es el fraude bancario que más crece en España.
Los estafadores obtienen un duplicado de tu tarjeta SIM en una tienda de tu operador, generalmente con documentación falsificada. Una vez controlan tu número, reciben los códigos de verificación por SMS (OTP) de tu banca online y realizan transferencias. Tu móvil pierde cobertura repentinamente. La Policía Nacional ha desmantelado múltiples redes de SIM swapping con pérdidas de millones de euros.
Compras, suscripciones o cargos que aparecen en tu extracto sin que los hayas realizado. Pueden provenir de filtraciones masivas de datos de tarjetas, páginas web comprometidas, o empleados deshonestos que copian los datos. Incluye microcargos (pequeñas cantidades que pasan desapercibidas) y cargos únicos de gran importe. El plazo para reclamar al banco es de 13 meses desde el cargo según PSD2.
Con datos personales robados (DNI, nóminas, declaraciones de renta), los estafadores abren cuentas bancarias, solicitan préstamos personales, créditos rápidos o tarjetas de crédito a tu nombre. La víctima descubre la estafa cuando recibe reclamaciones de deudas que nunca contrató. Es especialmente grave porque afecta a tu historial crediticio en CIRBE y ficheros de morosidad como ASNEF.
Dispositivos físicos instalados en cajeros automáticos o datafónos que copian la banda magnética de tu tarjeta y capturan tu PIN mediante una cámara oculta o un teclado superpuesto. Los datos se usan para fabricar tarjetas clonadas. Aunque ha disminuido con el chip EMV, sigue ocurriendo especialmente en cajeros de zonas turísticas y gasolineras.
Comercialización de productos financieros complejos (preferentes, cláusulas suelo, swaps, fondos estructurados, seguros vinculados a inversiones) sin información adecuada al cliente, sin evaluar su perfil de riesgo (test MiFID), o con información engañosa. Las entidades aprovechan la confianza del cliente para colocar productos no adecuados a su perfil.
Mensajes de texto que se insertan en el mismo hilo de conversación de tu banco real (thread hijacking) avisando de "accesos sospechosos", "bloqueo de cuenta" o "envíos pendientes". Incluyen un enlace a una web falsa donde capturan tus credenciales. Es especialmente peligroso porque el SMS aparece junto a mensajes legítimos de tu banco, lo que genera una confianza falsa.
Dirigido a empresas y autónomos. Los estafadores interceptan o suplantan correos de proveedores o directivos para modificar la cuenta bancaria de destino de una transferencia. El dinero se envía a una cuenta controlada por los delincuentes. Las pérdidas por BEC en España superan los 100 millones de euros anuales según estimaciones policiales.
Empresas más denunciadas
Tipos de fraude bancario y cómo identificarlos
| Tipo | Nivel de riesgo | Señales de alerta |
|---|---|---|
| Phishing por email | Crítico | URL no coincide con la oficial del banco, errores ortográficos, pide credenciales completas o códigos OTP |
| Vishing (llamada) | Crítico | Te llaman "del banco" pidiendo códigos SMS, contraseñas o que instales una app. Tu banco NUNCA pide esto por teléfono |
| Smishing (SMS) | Crítico | SMS con enlace urgente sobre "bloqueo de cuenta" o "acceso sospechoso". Aparece en el hilo real del banco |
| SIM swapping | Crítico | Tu móvil pierde cobertura de repente. No recibes llamadas ni SMS. Intentos de acceso a tu banca online |
| Skimming en cajeros | Alto | Cajero con piezas sueltas, teclado con relieve extraño, ranura de tarjeta sobresaliente o cámara sospechosa |
| Cargos no autorizados | Alto | Movimientos desconocidos en extracto, microcargos recurrentes de comercios no reconocidos, suscripciones no contratadas |
| Suplantación de identidad | Crítico | Recibes cartas de bancos con los que no tienes relación, apareces en ASNEF o CIRBE sin motivo, deudas desconocidas |
| Fraude BEC / del CEO | Alto | Proveedor cambia su cuenta bancaria por email, urgencia inusual en la transferencia, dominio de email ligeramente diferente |
| Man-in-the-middle bancario | Alto | Certificado SSL inválido al acceder a banca online, redirecciones extrañas, página pide datos que normalmente no solicita |
| Estafa de inversión bancaria | Medio | Producto complejo vendido como "seguro", no te hacen test MiFID, promesas de rentabilidad sin explicar riesgos |
Cómo reclamar paso a paso
Reúne todas las evidencias inmediatamente
Haz capturas de pantalla de SMS, emails, webs falsas, extractos bancarios con los cargos fraudulentos, registros de llamadas y cualquier comunicación con el estafador. Si es phishing, guarda la URL completa y las cabeceras del email. Si es vishing, anota la fecha, hora, duración de la llamada y número que aparecía en pantalla. Descarga los movimientos bancarios en PDF desde tu banca online.
Contacta con tu banco de forma urgente (primeras 24-48 horas)
Llama al número de atención al cliente de tu banco (nunca al número que aparezca en un SMS o email sospechoso). Solicita el bloqueo inmediato de tarjetas y credenciales comprometidas. Comunica la operación no autorizada formalmente. Pide número de referencia de tu reclamación. Según el artículo 36 del RDL 19/2018, el banco debe devolverte el importe a más tardar al final del día hábil siguiente a la notificación, salvo que tenga motivos razonables para sospechar fraude del propio usuario.
Presenta denuncia ante la Policía Nacional o Guardia Civil
Acude a comisaría con toda la documentación y presenta denuncia formal. Puedes hacerlo también online en policia.es o en el GDT de la Guardia Civil. Detalla todas las operaciones fraudulentas con fechas, importes y circunstancias. La denuncia policial es imprescindible para la reclamación posterior al banco y para la vía judicial.
Reclama formalmente al Servicio de Atención al Cliente (SAC) del banco
Si el banco no te devuelve el dinero tras la notificación inicial, presenta reclamación formal por escrito al SAC (Servicio de Atención al Cliente) o al Defensor del Cliente de la entidad. El banco tiene un plazo máximo de 15 días hábiles para resolver tu reclamación (10 días hábiles para servicios de pago). Este paso es obligatorio antes de acudir al Banco de España.
Presenta reclamación ante el Banco de España
Si el SAC del banco no resuelve en plazo o rechaza tu reclamación, presenta reclamación ante el Departamento de Conducta de Entidades del Banco de España. Puedes hacerlo online en bde.es. El Banco de España emitirá un informe que, aunque no es vinculante, tiene un peso enorme: las entidades acatan sus resoluciones en la gran mayoría de casos para evitar sanciones.
Denuncia ante la AEPD si hubo brecha de datos personales
Si el fraude implicó acceso a tus datos personales (DNI, datos bancarios, historial) por una brecha de seguridad del banco o de un tercero, presenta reclamación ante la Agencia Española de Protección de Datos (AEPD). Las multas del RGPD pueden alcanzar los 20 millones de euros o el 4% de la facturación global, lo que añade presión para que la entidad negocie.
Acción judicial: demanda civil o penal
Si el banco sigue sin devolver el dinero, la vía judicial es el siguiente paso. Puedes interponer una demanda civil por responsabilidad del proveedor de servicios de pago (art. 36 RDL 19/2018) o una demanda penal por estafa (art. 248-251 Código Penal). Para importes inferiores a 2.000€ no necesitas abogado ni procurador (juicio verbal). La reclamación colectiva reduce costes y aumenta la fuerza de la demanda.
Plazos para reclamar
Según el artículo 43 del RDL 19/2018 (transposición de la PSD2), el usuario dispone de un máximo de 13 meses desde la fecha del cargo para comunicar la operación no autorizada al banco. Pasado este plazo, pierdes el derecho a la devolución automática. Cuanto antes reclames, mejor.
El Servicio de Atención al Cliente del banco debe resolver tu reclamación en un máximo de 15 días hábiles (10 días hábiles para servicios de pago, según la Orden ECO/734/2004 actualizada). Si no contesta en plazo, puedes acudir directamente al Banco de España.
Si pagaste con tarjeta de crédito o débito, puedes solicitar la retrocesión del cargo (chargeback) a través de tu banco en los 120 días siguientes a la transacción. Este plazo lo establece Visa y Mastercard en sus normas operativas. Es un mecanismo rápido y efectivo que el banco está obligado a tramitar.
El plazo general de prescripción para acciones civiles personales es de 5 años (art. 1964 del Código Civil). Para la acción penal por estafa básica (art. 249 CP) el plazo es también de 5 años, y de hasta 10 años para estafa agravada (art. 250 CP, importes superiores a 50.000€).
Sentencias y jurisprudencia clave
El Tribunal Supremo estableció que en operaciones de pago no autorizadas (phishing), la carga de la prueba recae sobre el proveedor de servicios de pago (el banco). Es el banco quien debe demostrar que la operación fue autenticada, registrada y contabilizada correctamente, y que no se vio afectada por un fallo técnico. No basta con que el banco demuestre que se utilizó el sistema de autenticación correctamente.
Consolida la doctrina de que el banco es responsable del fraude salvo que pruebe negligencia grave del cliente. La mera introducción de credenciales en una web de phishing no constituye negligencia grave automáticamente.
Condenó a una entidad bancaria a devolver 12.800€ sustraídos mediante vishing. El estafador llamó haciéndose pasar por empleado del banco con spoofing del número oficial. El tribunal determinó que el banco no había implementado medidas de seguridad suficientes para detectar la operación inusual (transferencia a beneficiario nuevo por importe elevado en horario inusual).
Sentó precedente sobre la obligación del banco de contar con sistemas antifraude que detecten patrones anómalos, incluso cuando el cliente facilita las credenciales engañado.
La entidad bancaria fue condenada a reembolsar 28.500€ obtenidos mediante SIM swapping. El tribunal consideró que el banco tenía la obligación de implementar mecanismos de autenticación reforzada (SCA) que no dependieran exclusivamente de un SMS al móvil, y que la autenticación por SMS OTP no cumplía adecuadamente con la PSD2 cuando la SIM podía ser duplicada.
Clave para víctimas de SIM swapping: establece que depender únicamente de SMS como segundo factor de autenticación es insuficiente bajo PSD2.
Condenó a un banco a devolver 6.400€ tras un ataque de smishing en el que el SMS fraudulento se insertó en el hilo real de mensajes del banco. El tribunal determinó que el usuario no incurrió en negligencia grave al confiar en un mensaje que aparecía junto a comunicaciones legítimas de la entidad.
Importante para casos de thread hijacking en SMS: si el mensaje fraudulento aparece en el mismo hilo que los mensajes reales del banco, no se puede culpar al usuario de negligencia.
Marco legal
Norma fundamental para reclamaciones por fraude bancario en España. El artículo 36 establece que el proveedor de servicios de pago (banco) debe devolver de inmediato el importe de operaciones no autorizadas. El artículo 41 limita la responsabilidad del usuario a 50€ máximo salvo negligencia grave o fraude del propio usuario. El artículo 43 fija el plazo de 13 meses para comunicar operaciones no autorizadas.
Directiva europea de servicios de pago que establece el marco de protección del consumidor en operaciones de pago. Obliga a la autenticación reforzada del cliente (SCA, Strong Customer Authentication) con al menos dos factores independientes. Es la base de toda la normativa española sobre operaciones no autorizadas.
Tipifica la estafa con penas de prisión de 6 meses a 3 años (tipo básico). La estafa agravada (art. 250) por cuantía superior a 50.000€, afectación a gran número de personas, o abuso de relaciones personales/profesionales eleva las penas hasta 6 años de prisión y multa de 6 a 12 meses.
Aplicable cuando el fraude implica tratamiento ilícito de datos personales. Las entidades bancarias deben implementar medidas de seguridad adecuadas para proteger los datos de sus clientes. Las brechas de seguridad que faciliten el fraude pueden suponer multas de hasta 20 millones de euros o el 4% de la facturación global.
Real Decreto Legislativo 1/2007. Establece los derechos básicos del consumidor bancario: información veraz, protección contra prácticas abusivas, indemnización por daños y derecho a la tutela judicial efectiva. Las cláusulas que limiten la responsabilidad del banco en fraudes pueden ser consideradas abusivas.
Creó el Comisionado para la Defensa del Cliente de Servicios Financieros (integrado en el Banco de España). Regula el procedimiento de reclamación ante el Banco de España como paso previo a la vía judicial.
Regula los SAC (Servicios de Atención al Cliente) y Defensores del Cliente de las entidades financieras. Establece plazos de respuesta, requisitos de motivación y el carácter obligatorio de este trámite antes de acudir al supervisor.
Dónde reclamar
Organismo supervisor bancario. Tramita reclamaciones contra entidades de crédito por operaciones no autorizadas, comisiones indebidas y mala praxis bancaria. Sus informes, aunque no vinculantes, son acatados por los bancos en la inmensa mayoría de casos. Resuelve el 97% de reclamaciones por fraude a favor del usuario.
bde.es - ReclamacionesSupervisa los mercados de valores y la comercialización de productos de inversión. Competente para reclamaciones sobre productos financieros complejos vendidos por bancos (fondos, preferentes, estructurados). Teléfono gratuito de atención al inversor: 900 535 015.
cnmv.es - ReclamacionesCompetente cuando el fraude bancario implica una brecha de datos personales, suplantación de identidad o tratamiento ilícito de información personal. Las reclamaciones ante la AEPD pueden derivar en sanciones millonarias a la entidad responsable.
aepd.es - ReclamacionesUnidad especializada en ciberdelitos, incluyendo phishing, vishing, SIM swapping y fraudes bancarios online. Puedes presentar denuncia presencial en comisaría o a través de su portal online.
policia.es - DenunciasOrganización de consumidores que asesora y puede interponer acciones colectivas contra entidades bancarias. Han liderado reclamaciones masivas contra cláusulas abusivas, comisiones ilegales y fraudes bancarios.
facua.orgMayor asociación de consumidores de España. Ofrece asesoramiento jurídico a socios, herramientas de reclamación y acciones colectivas contra bancos. Han promovido demandas colectivas por preferentes, cláusulas suelo y comisiones abusivas.
ocu.orgOrganismo público que gestiona incidentes de ciberseguridad. Línea de ayuda gratuita 017 para ciudadanos y empresas víctimas de fraude online. Publican alertas sobre campañas de phishing bancario activas.
incibe.esGuías relacionadas del Códice
Consulta nuestras guías detalladas sobre tus derechos como consumidor.
Preguntas frecuentes
¿Te han afectado?
Únete a la reclamación colectiva. Juntos tenemos más fuerza para que las empresas respondan.
Ver casos activos o crea tu cuenta gratisTambién puedes reclamar sobre: