Cuando eres víctima de un fraude bancario, la pregunta que más importa no es solo «¿cómo ha pasado esto?», sino «¿tiene el banco que devolverme el dinero?». La respuesta no es la misma en todos los casos: depende de si la operación fue autorizada por ti o no, y de qué pueda demostrar cada parte. En este artículo repasamos, de forma clara y completa, qué dice exactamente la legislación española sobre la responsabilidad de los bancos frente a los distintos tipos de fraude online.
El marco legal: el Real Decreto-ley 19/2018 de servicios de pago
La norma que regula esta materia en España es el Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, que transpone al ordenamiento español la Directiva europea PSD2 (Directiva 2015/2366). Esta normativa establece un principio general muy favorable para el consumidor: cuando se ejecuta una operación de pago sin tu autorización, es tu banco quien debe devolverte el importe, y es también tu banco quien tiene que demostrar que la operación fue correctamente autenticada y que no hubo fallos en su sistema de seguridad. Tú, como cliente, no tienes que demostrar tu inocencia: es la entidad quien debe probar que actuaste con fraude o negligencia grave para poder eximirse de esa obligación.
Este reparto de la carga de la prueba es la pieza central de toda la protección legal frente al fraude bancario en España, y ha sido reforzado recientemente por la jurisprudencia del Tribunal Supremo.
La distinción clave: operación autorizada vs. no autorizada
No todos los fraudes bancarios reciben el mismo tratamiento legal. La diferencia fundamental está en si tú diste o no tu consentimiento a la operación, aunque fuera de forma inconsciente o engañada:
Se consideran operaciones no autorizadas (y por tanto el banco debe responder, salvo que demuestre fraude o negligencia grave tuya):
- Un cargo ejecutado mediante phishing, vishing o smishing, donde un tercero obtiene tus claves engañándote y las usa para operar en tu nombre sin que tú seas consciente de estar autorizando esa operación concreta.
- Una tarjeta clonada o duplicada sin tu conocimiento.
- Un acceso no autorizado a tu banca online por un fallo de seguridad ajeno a ti.
Se consideran operaciones autorizadas (y por tanto el banco generalmente no está obligado a devolver el dinero, aunque tú actuaras engañado sobre el motivo del pago):
- Un Bizum enviado voluntariamente a un estafador que se hizo pasar por vendedor de un producto que nunca existió.
- Una transferencia realizada por ti mismo a un IBAN erróneo por un error propio de escritura.
- Cualquier pago que tú mismo confirmaste y ejecutaste, aunque lo hicieras basándote en información falsa proporcionada por un tercero.
Esta distinción explica por qué dos personas que han «perdido dinero por un fraude» pueden tener derechos completamente distintos frente a su banco: lo decisivo no es si hubo intención de estafar (que la hay en ambos casos), sino si técnica y legalmente diste tú la orden final de la operación.
Qué debe demostrar el banco para eximirse de responsabilidad
Cuando reclamas una operación no autorizada, el banco solo puede negarse a devolver el dinero si consigue demostrar dos cosas: que su sistema de autenticación funcionó correctamente (sin fallos técnicos ni de seguridad) y que tú actuaste con fraude o con negligencia grave. El simple hecho de que la operación quede registrada como «autenticada» en el sistema del banco no es, por sí solo, prueba suficiente de negligencia grave por tu parte.
Qué es (y qué no es) negligencia grave
Este concepto es determinante y, sin embargo, no está definido de forma cerrada en la ley, por lo que su interpretación depende en gran medida de los tribunales. La jurisprudencia más reciente tiende a interpretarlo de forma restrictiva, especialmente ante fraudes sofisticados. El Tribunal Supremo, en su sentencia 571/2025, de 9 de abril de 2025, condenó a una entidad bancaria a devolver más de 56.000 euros sustraídos mediante un ataque combinado de vishing y duplicación de tarjeta SIM, dejando claro que el registro técnico de la operación no demuestra por sí solo la negligencia grave del cliente.
En términos generales, caer en un engaño elaborado (una llamada que suplanta el número real del banco, un SMS integrado en un hilo de mensajes legítimos, una web fraudulenta prácticamente idéntica a la original) normalmente no se considera negligencia grave, ya que ni una persona prudente y informada podría haber detectado el fraude con facilidad. En cambio, sí podría valorarse como negligencia grave compartir voluntariamente tus claves con un tercero sabiendo el riesgo evidente, o ignorar de forma reiterada avisos previos y explícitos de tu propio banco sobre una operación sospechosa concreta.
Plazos que establece la ley
- 13 meses desde la fecha del cargo es el plazo máximo para notificar al banco una operación no autorizada. Cuanto antes lo hagas, mejor: la notificación temprana evita que se produzcan cargos adicionales del mismo origen fraudulento.
- El día hábil siguiente a tu comunicación es, con carácter general, el plazo en el que el banco debe devolver el importe de una operación que reconozca como no autorizada.
- 15 días hábiles es el plazo habitual de respuesta a una reclamación formal presentada ante el Servicio de Atención al Cliente del banco.
- 90 días naturales es el plazo máximo del Banco de España para resolver una reclamación, una vez agotada la vía directa con la entidad.
- 5 años es el plazo general de prescripción para reclamar judicialmente por incumplimiento contractual, si la vía extrajudicial no ha dado resultado.
Qué pasa si el banco rechaza tu reclamación
Si tu banco niega la devolución alegando negligencia grave por tu parte y no estás de acuerdo, tienes dos vías principales:
- Reclamación ante el Banco de España. El Departamento de Conducta de Entidades admite reclamaciones de clientes que ya hayan agotado la vía directa con su banco. El informe resultante no es vinculante para la entidad, pero constituye un elemento de peso si el caso acaba en los tribunales.
- Vía judicial. Para reclamaciones de hasta 2.000 euros puedes acudir a un juicio verbal sin necesidad de abogado ni procurador. Para importes superiores, es recomendable contar con representación profesional, especialmente en casos técnicamente complejos donde conviene aportar informes periciales sobre la operativa del fraude.
Resumen: ¿me tiene que devolver el dinero el banco?
| Tipo de fraude | ¿Se considera operación autorizada? | ¿El banco debe devolver el dinero? |
|---|---|---|
| Phishing (claves obtenidas por engaño) | No | Sí, salvo fraude o negligencia grave |
| Vishing (llamada telefónica fraudulenta) | No | Sí, salvo fraude o negligencia grave |
| Smishing (SMS fraudulento) | No | Sí, salvo fraude o negligencia grave |
| Tarjeta clonada o duplicada | No | Sí, salvo fraude o negligencia grave |
| Bizum enviado voluntariamente a un estafador | Sí | No, con carácter general |
| Transferencia a IBAN erróneo por error propio | Sí | No, con carácter general (aunque el banco debe ayudar a intentar recuperarlo) |
| Suplantación de identidad para abrir cuenta o préstamo | No (no fuiste tú quien contrató) | Sí, la entidad debe anular el contrato si no acredita tu identidad |
Consejos prácticos si eres víctima de un fraude online
- Actúa cuanto antes. Cuanto menos tiempo pase entre el fraude y tu reclamación, más fuerte será tu posición y menor el riesgo de que se produzcan cargos adicionales.
- Reclama siempre por escrito. Una llamada telefónica no deja constancia suficiente; utiliza el canal formal de reclamaciones de tu banco y conserva el justificante.
- No aceptes una primera negativa sin cuestionarla. Muchas entidades rechazan reclamaciones en primera instancia con argumentos genéricos que no siempre se sostienen frente a la jurisprudencia reciente.
- Guarda toda la documentación. Capturas de pantalla, extractos, denuncias policiales y cualquier comunicación con el banco serán claves si el caso avanza a instancias superiores.
Preguntas frecuentes
¿Tengo que demostrar yo que no autoricé la operación? No. La ley invierte la carga de la prueba: es el banco quien debe demostrar que la operación fue correctamente autenticada y que hubo fraude o negligencia grave por tu parte.
¿Qué pasa si mi caso no encaja claramente en ninguna categoría? Cada caso tiene sus particularidades, y la línea entre «operación autorizada» y «no autorizada» a veces no es evidente a primera vista. Ante la duda, presenta la reclamación igualmente y deja que sea el banco, y en su caso el Banco de España o un juzgado, quien valore las circunstancias concretas.
¿La ley protege igual a particulares y a empresas? No exactamente. El Real Decreto-ley 19/2018 ofrece un nivel de protección reforzado a los consumidores y microempresas, mientras que las grandes empresas pueden tener un régimen distinto según lo pactado contractualmente con su entidad.
¿Puedo reclamar si el fraude ocurrió hace más de un año? Depende del tipo de operación. Para operaciones no autorizadas, el plazo legal de notificación es de 13 meses desde la fecha del cargo; pasado ese plazo, resulta mucho más difícil ejercer la reclamación por esta vía específica.
Conclusión
La legislación española ofrece una protección sólida frente al fraude bancario online, pero esa protección no es uniforme: depende de si la operación se considera autorizada o no autorizada, y de si el banco puede demostrar fraude o negligencia grave por tu parte. Conocer esta distinción te permite entender, desde el primer momento, qué puedes esperar realmente de tu reclamación y cómo plantearla de la forma más eficaz.
Este artículo tiene un carácter meramente informativo y no sustituye el asesoramiento legal personalizado. Si has sido víctima de un fraude bancario, se recomienda actuar con rapidez y, si el importe es elevado o el banco rechaza tu reclamación, consultar con un abogado especializado en derecho bancario.
