Phishing bancario, lo que tienes derecho a reclamar si te roban el dinero de tu cuenta.
Por Sergio Baz Barrios, abogado · Actualizado el 23/10/2026
Cada día es más habitual esta escena. Recibes un mensaje que parece de tu banco. La página a la que te lleva es idéntica a la real. Introduces tus datos. Minutos después, alguien te llama haciéndose pasar por el banco. Y cuando por fin te das cuenta de lo que está pasando, ya no hay nada en la cuenta. Si has sufrido phishing bancario y quieres reclamar, sigue leyendo.
Lo primero que dice el banco cuando lo llamas es que facilitaste tus credenciales voluntariamente. Que no pueden hacer nada. En ese momento el sentimiento de culpabilidad es aplastante.
Sin embargo, esa respuesta del banco no es el final del asunto. Es su primer movimiento en la negociación. Cada caso es distinto, pero la normativa protege al cliente mucho más de lo que da a entender esa primera respuesta.
Si necesitas ayuda con esto, en Otefisa podemos ayudarte: Abogados especialistas en reclamaciones bancarias.
Cómo funciona el engaño en el phishing bancario
- La primera es el SMS. Llega al mismo hilo de mensajes en el que tu banco lleva meses comunicándose contigo. No viene de un número desconocido. Aparece donde siempre. El mensaje dice que hay un problema de seguridad urgente y que tienes que verificar tus datos o tu cuenta quedará bloqueada.
- La segunda es la página falsa. El enlace lleva a una copia exacta de la web o app del banco. El diseño es idéntico. La URL es parecida. Introduces tu usuario y tu contraseña. Al otro lado, alguien los está capturando en tiempo real.
- La tercera es la llamada. Te llama una persona que ya sabe tu nombre, que sabe que acabas de cambiar la contraseña, que conoce los últimos cuatro dígitos de tu cuenta. Habla con fluidez y educación. Te tranquiliza. Y mientras hablas, las transferencias ya se están ejecutando.
Esto no es una estafa de aficionados. Es un ataque coordinado que explota una vulnerabilidad técnica en los sistemas de mensajería móvil, no la ingenuidad del usuario. Cuando el engaño es así de elaborado, los tribunales examinan con especial cuidado si de verdad hubo negligencia grave del usuario.
Lo que la ley dice y el banco no te cuenta sobre el phishing bancario
La misma normativa obliga a usar autenticación reforzada para ejecutar transferencias: al menos dos factores distintos. Algo que sabes (un PIN o contraseña), más algo que tienes (confirmación en app, SMS al móvil) o algo que eres (biometría). Cuando un banco permite ejecutar transferencias de miles de euros a beneficiarios desconocidos usando solo un PIN que acaba de ser cambiado por un atacante, hay un incumplimiento normativo que va mucho más allá de lo que el usuario hizo o dejó de hacer.
Además, la normativa obliga a los bancos a contar con mecanismos de supervisión de las operaciones capaces de detectar pagos fraudulentos (artículo 2 del Reglamento Delegado (UE) 2018/389). Una transferencia de madrugada, a un beneficiario que nunca ha aparecido en la cuenta y por un importe muy superior al habitual, es justo el tipo de operación que esos sistemas deberían detectar. Si no lo hicieron, es un elemento que pesa en contra del banco.
Qué dicen los tribunales sobre el phishing bancario
Además, el estándar para que un tribunal aprecie negligencia grave es mucho más alto de lo que los bancos dan a entender en su respuesta inicial.
Numerosas Audiencias Provinciales han condenado en los últimos años a entidades a devolver el dinero en casos de phishing. El argumento de que el cliente «facilitó sus datos» no basta por sí solo, sobre todo cuando el engaño fue elaborado y el cliente avisó con rapidez.
Sobre la negligencia grave
Compartir la contraseña con un desconocido que te la pide por teléfono sin contexto podría discutirse. Responder a un mensaje que lleva el nombre de tu banco, aparece donde siempre han aparecido sus mensajes, y te avisa de un bloqueo inminente es exactamente lo que un atacante profesional diseña para que parezca legítimo.
Qué hacer si te ha pasado
Pon la denuncia en comisaría lo antes posible. El número del atestado es importante para la reclamación.
Notifica al banco por escrito que las operaciones no fueron autorizadas. Usa el canal oficial de reclamaciones, pide acuse de recibo y guarda copia. El banco tiene 15 días hábiles para responderte (artículo 69 del Real Decreto-ley 19/2018), ampliables a un mes en situaciones excepcionales. Si no responde o responde negativamente, el siguiente paso es el supervisor, que es el Banco de España para cuentas corrientes y depósitos, la CNMV si hubo venta de inversiones.
Un detalle que marca mucho la reclamación suele ser qué pasó exactamente en la llamada telefónica. Si en esa llamada facilitaste algún código de verificación que había llegado a tu móvil, el banco lo usará como argumento. Necesitas tenerlo claro antes de presentar nada.
Nuestra recomendación es que antes de poner la denuncia y hacer la primera reclamación, contactes con un abogado especialista que te pueda orientar para poder llevar a cabo esas primeras gestiones de forma eficaz y sin errores.
En Otefisa Asesores podemos encargarnos de todo
Si el banco ya te ha dado una negativa, eso no cierra nada. Las entidades rechazan estas reclamaciones de forma casi automática en primera instancia porque saben que la mayoría de afectados no va más allá. Cuando ven que hay un escrito formal bien fundamentado con la normativa y la jurisprudencia actuales, la posición del banco puede cambiar.
Trabajamos con clientes afectados por phishing en cualquier entidad: bancos tradicionales, neobancos, brokers, plataformas de inversión. El marco legal es el mismo para todos.
Si quieres que revisemos tu caso, escríbenos. Te decimos sin rodeos si hay base para reclamar y qué posibilidades reales hay de recuperar el dinero robado por phishing bancario.
