Te han vaciado la cuenta y el banco dice que es culpa tuya
Casi siempre responde lo mismo: que la operación se validó con tus claves y que ahí termina su obligación. La ley dice otra cosa, y desde abril de 2025 el Tribunal Supremo también.
Respuesta en 24-48 h · o llama al 601 59 57 97
El punto de partida
La ley parte de que el banco devuelve
La Directiva (UE) 2015/2366, conocida como PSD2, se traspuso en España mediante el Real Decreto-ley 19/2018, de servicios de pago. Ese texto establece un régimen que los tribunales vienen calificando de responsabilidad cuasi objetiva del proveedor de servicios de pago.
Funciona así: si niegas haber autorizado una operación ya ejecutada, es el banco quien tiene que probar que fue autenticada, registrada con exactitud y autorizada por ti. Y su artículo 45 le obliga a reembolsar de inmediato el importe de la operación no autorizada.
Solo se libera si acredita fraude tuyo o negligencia grave por tu parte. Esa carga es suya, no tuya. La diferencia es enorme: no tienes que demostrar que fuiste diligente, tiene que demostrar él que no lo fuiste.
Abril de 2025
Lo que cambió con la sentencia del Supremo
La STS 571/2025, de 9 de abril, de la Sala Primera, es la primera que analiza qué es negligencia grave en un fraude de este tipo y qué medidas de seguridad debe adoptar la entidad. Fijó tres cosas que conviene conocer:
El registro de la operación no prueba nada por sí solo
Que el banco muestre un log con la operación autenticada no acredita el consentimiento del ordenante, ni que el usuario actuara de forma fraudulenta o gravemente negligente. Es el argumento que más se usa contra el cliente y el Supremo lo ha desactivado.
La deficiencia del servicio va más allá del fallo informático
Alcanza a cualquier actuación, omisión o funcionamiento incorrecto que suponga incumplir obligaciones legales, contractuales o de diligencia profesional. El nivel exigible es el del ordenado y experto comerciante. Si hay transferencias manifiestamente inusuales y la entidad no activa alertas ni bloqueos, hay prestación defectuosa aunque técnicamente todo funcionara.
Que te sacaran las claves no te condena
El Supremo es explícito: que la filtración de las claves no sea imputable a la entidad no la libera de responder ni traslada al usuario la obligación de soportar la pérdida.
En aquel caso el cliente recibió SMS con códigos que no había solicitado y avisó de inmediato a su oficina. El Supremo valoró eso como conducta diligente, y reprochó al banco que, conociendo el aviso, no cambiara claves ni activara ninguna medida.
Qué revisamos
Todas las variantes del mismo fraude
Phishing
Correos que suplantan a tu banco y te llevan a una web clonada donde introduces las claves.
Smishing
SMS fraudulentos que aparecen dentro del mismo hilo de mensajes legítimos de la entidad.
Vishing
Llamadas de un supuesto empleado del departamento de fraude que te guía para «proteger» tu cuenta.
Spoofing
Suplantación del número de teléfono o del remitente para que la comunicación parezca del banco.
Compras y transferencias no reconocidas
Cargos con tarjeta o envíos que no autorizaste, con o sin engaño previo.
Bizum fraudulento
Solicitudes de dinero disfrazadas de envíos, o suplantación de contactos conocidos.
Qué hacer ya
Los cuatro pasos que condicionan tu reclamación
Comunícalo a la entidad
Y deja constancia escrita: por el buzón de la app, por correo o por burofax. La comunicación inmediata pesa mucho en el resultado.
El mismo día
Denuncia
Ante Policía Nacional o Guardia Civil. La denuncia no recupera el dinero por sí sola, pero es una pieza necesaria del expediente.
Primeras 48 horas
Guarda todo
SMS, correos, capturas de pantalla, número desde el que te llamaron, hora de cada operación. No borres nada, aunque parezca insignificante.
Desde el primer minuto
Y no aceptes el primer «no» del banco
La respuesta inicial del servicio de atención al cliente suele ser una negativa estándar apelando a que la operación se validó con tus credenciales. Esa respuesta, por sí sola, no cierra nada: es el punto de partida de la reclamación, no el final.
Fundamento
En qué nos apoyamos
- Directiva (UE) 2015/2366 (PSD2), sobre servicios de pago en el mercado interior.
- Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago: artículo 44 sobre carga de la prueba y artículo 45 sobre devolución de operaciones no autorizadas.
- STS 571/2025, de 9 de abril, Sala Primera: negligencia grave, deficiencia del servicio y medidas de seguridad exigibles a la entidad.
- Exigencia de autenticación reforzada del cliente, con al menos dos factores independientes, y de sistemas de monitorización de operaciones para detectar fraude.
Consultable en el buscador del CENDOJ y en el BOE.
Sin adornos
Lo que no te vamos a decir
Que lo vas a recuperar seguro
No podemos. El régimen es favorable al usuario y la carga de la prueba está del lado del banco, pero la negligencia grave sí existe como causa de exoneración y hay resoluciones que la aprecian. Depende de qué hiciste, de cuándo avisaste y de cómo actuó la entidad.
Lo que sí podemos es mirarlo sin cobrarte y decirte con franqueza si hay recorrido.
Seguir por aquí
Otras cosas que revisamos
Dudas
Preguntas frecuentes
¿Tengo que devolver yo el dinero si caí en un phishing?
No necesariamente. El artículo 45 del Real Decreto-ley 19/2018 obliga a la entidad a reembolsar de inmediato el importe de una operación de pago no autorizada. Solo queda exonerada si prueba que hubo fraude del propio usuario o negligencia grave por su parte, y esa prueba le corresponde a ella, no a ti.
El banco dice que la operación se validó con mi clave y mi SMS.
El registro de la operación no basta. La sentencia del Tribunal Supremo 571/2025, de 9 de abril, establece que el simple registro no acredita ni el consentimiento del ordenante ni que el usuario actuara de forma fraudulenta o gravemente negligente.
Facilité mis claves sin darme cuenta. ¿Eso me deja sin nada que hacer?
No automáticamente. El Tribunal Supremo ha señalado que el hecho de que la filtración de las claves no sea imputable a la entidad no la libera de responder ni traslada al usuario la obligación de soportar la pérdida. La entidad debe acreditar además que prestó el servicio correctamente.
¿Qué es la «deficiencia del servicio» de la que habla el Supremo?
Cualquier actuación, omisión o funcionamiento incorrecto de la entidad que suponga incumplir sus obligaciones legales, contractuales o de diligencia profesional. No se limita a un fallo informático: si el banco no reacciona ante señales evidentes de fraude, como transferencias inusuales, puede haber prestación defectuosa aunque técnicamente todo funcionara.
¿Qué debo hacer nada más detectarlo?
Comunicarlo de inmediato a la entidad y dejar constancia escrita de esa comunicación, denunciar ante la Policía o la Guardia Civil, y conservar los SMS, correos y capturas de pantalla. La comunicación inmediata es determinante: el Supremo valoró expresamente como conducta diligente que el cliente avisara al banco de los SMS con códigos que no había solicitado.
¿Cuánto tiempo tengo para reclamar?
Conviene actuar cuanto antes, tanto por la obligación de notificación sin demora que impone la normativa de servicios de pago como por la conservación de las evidencias. Cuanto más tarde se comunique, más difícil resulta acreditar la diligencia del usuario.
Contacto
Cuéntanos qué tienes
Cuéntanos qué pasó, cuánto se llevaron y qué te ha respondido el banco. Con eso ya se puede orientar.