Phishing: qué tiene que probar el banco para no devolverte
Casi todo el mundo llega convencido de que, como facilitó sus claves, no tiene nada que hacer. El régimen legal dice justo lo contrario: la carga de probar está del otro lado.
El error de partida es entender el phishing como una estafa entre el defraudador y tú, en la que el banco es un tercero ajeno. Jurídicamente no funciona así. Lo que hay es una operación de pago no autorizada, y para eso existe un régimen específico que reparte responsabilidades de forma muy concreta.
La regla general: el banco devuelve
El Real Decreto-ley 19/2018, que traspone al derecho español la segunda directiva europea de servicios de pago, establece en su artículo 45 que, comunicada una operación no autorizada, el proveedor de servicios de pago debe devolver el importe de inmediato y, en todo caso, a más tardar al final del día hábil siguiente, restableciendo la cuenta al estado en que se encontraría de no haberse efectuado el cargo.
Esa es la regla. Devolver primero, discutir después.
La excepción, y quién tiene que probarla
El artículo 44 establece que corresponde al proveedor de servicios de pago probar que la operación fue autenticada, registrada y contabilizada correctamente, y que no se vio afectada por un fallo técnico. Y añade algo decisivo: el registro de la utilización del instrumento de pago no basta por sí solo para demostrar que la operación fue autorizada por el usuario.
Para no devolver, la entidad debe acreditar que actuaste de forma fraudulenta o con negligencia grave. La carga es suya. Tú no tienes que demostrar tu inocencia.
Qué es «negligencia grave», según el Supremo
La sentencia del Tribunal Supremo 571/2025, de 9 de abril, es la primera que aborda de frente esta cuestión, y de ella se desprenden dos ideas que cambian bastante el terreno de juego.
Primera: haber facilitado las credenciales bajo engaño no equivale automáticamente a negligencia grave. Las técnicas de suplantación —SMS que replican los del banco, webs clonadas, llamadas desde números que aparentan ser oficiales— están diseñadas precisamente para conseguir eso. Que funcionen no convierte a la víctima en negligente grave.
Segunda, y es la que más juego da: la entidad tiene un deber propio de vigilancia. Debe disponer de mecanismos eficaces para detectar operaciones sospechosas —varias transferencias seguidas, importes inusuales para ese cliente, horarios extraños, beneficiarios nuevos— y su fallo en esa detección juega en su contra.
El debate no es solo si tú picaste. También es si el banco tenía medios razonables para frenar lo que estaba ocurriendo y no los activó.
Si tu banco ya te ha denegado la devolución, mándanos su respuesta por escrito y los movimientos. Miramos si su negativa se sostiene. Sin coste.
Las modalidades y por qué da igual cuál sea
- Phishing · correo electrónico que simula ser del banco.
- Smishing · SMS fraudulento que se cuela en el mismo hilo de mensajes legítimos de la entidad, porque el remitente alfanumérico es suplantable.
- Vishing · llamada telefónica de un supuesto empleado del departamento de fraude.
- Spoofing · falsificación del número llamante para que aparezca en pantalla el teléfono oficial del banco.
- SIM swapping · duplicado fraudulento de tu tarjeta SIM para interceptar los códigos de verificación.
La calificación técnica importa poco a efectos del régimen aplicable. En todos los casos estamos ante operaciones no autorizadas, y en todos rige el mismo reparto de la carga probatoria.
Los argumentos del banco y por qué no siempre bastan
Estas son las respuestas más habituales cuando se deniega la devolución:
- «La operación se autenticó con sus claves». El artículo 44 dice expresamente que el registro de utilización no basta por sí solo.
- «Se aplicó autenticación reforzada». Que exista SCA no acredita que fuese el titular quien la superó, especialmente en supuestos de suplantación o de duplicado de SIM.
- «Usted facilitó datos a un tercero». Por sí solo no configura negligencia grave.
- «La operación es irreversible». No lo es a efectos del deber de devolución frente al cliente, que es independiente de si el dinero se recupera del defraudador.
Qué hacer si te ha pasado
Los pasos concretos, con los plazos y lo que conviene guardar, están en el artículo sobre qué hacer en las primeras 48 horas. Lo esencial: comunicarlo como operación no autorizada, por escrito, y no borrar nada.
Y una advertencia final: que tu caso encaje en este régimen no garantiza el resultado. Hay supuestos en los que los tribunales sí han apreciado negligencia grave, normalmente cuando concurren varias señales de alarma evidentes y desatendidas. Cada caso hay que verlo entero.
Preguntas frecuentes
¿Tiene que devolverme el banco si me han hecho phishing?
Como regla general sí. El artículo 45 del Real Decreto-ley 19/2018 obliga a devolver el importe de la operación no autorizada de inmediato y a más tardar al final del día hábil siguiente. Solo se libera si prueba fraude o negligencia grave del usuario.
¿Pierdo el derecho a la devolución si di mis claves?
No automáticamente. La STS 571/2025, de 9 de abril, considera que facilitar credenciales bajo engaño no equivale por sí solo a negligencia grave, dado que las técnicas de suplantación están diseñadas para lograrlo.
¿Quién tiene que probar la negligencia grave?
La entidad. Le corresponde acreditar que la operación fue autenticada, registrada y contabilizada correctamente y que el usuario actuó de forma fraudulenta o con negligencia grave. El simple registro de uso del instrumento de pago no basta.