Las ciberamenazas se han convertido en un riesgo cada vez más habitual en la vida digital y afectan tanto a empresas y administraciones como a particulares. España figura entre los países europeos más expuestos: durante el segundo semestre de 2025 se registraron 605 incidentes significativos, una media de tres ataques graves al día, según NTT Data.. Entre las técnicas más utilizadas se encuentra el phishing, basado en engañar a la víctima mediante el envío de correos electrónicos que suplantan a una entidad legítima para obtener sus datos bancarios. Pero, ¿qué ocurre cuando el engaño funciona y los ciberdelincuentes consiguen sacar dinero de una cuenta? ¿Puede el banco lavarse las manos y negarse a devolver las cantidades sustraídas?. «La respuesta corta es no, en la inmensa mayoría de los casos el banco no puede lavarse las manos ni culparte sin aportar pruebas contundentes. Aunque la entidad financiera intente cerrar el expediente alegando que introdujiste voluntariamente tus claves, el marco legal español y europeo te ampara», explica el portal de reclamaciones reclamador.es.. ¿Qué dice la ley?. El Real Decreto-ley 19/2018, que regula los servicios de pago, establece como principio general que el usuario tiene derecho a recuperar el importe de una operación de pago que no haya autorizado.. En los casos de phishing, el hecho de que una transferencia se haya confirmado utilizando una contraseña, un código SMS u otro mecanismo de seguridad no demuestra por sí solo que el titular haya dado su consentimiento. La víctima puede haber introducido sus claves pensando que estaba tratando con su banco cuando, en realidad, estaba siendo engañada por un ciberdelincuente.. La entidad financiera solo puede eludir su responsabilidad si consigue demostrar que el cliente actuó con negligencia grave. Además, la evolución de la normativa y de la jurisprudencia europea está reforzando la protección de los consumidores frente a este tipo de fraudes.. Excusas más habituales de los bancos. Una de las respuestas más frecuentes de las entidades es argumentar que «la operación se validó correctamente con su clave secreta y código SMS». Sin embargo, que el sistema haya autenticado técnicamente una operación no significa necesariamente que el titular autorizara con «consentimiento informado».. También es habitual que el banco alegue que el cliente entregó sus credenciales a un tercero y que, por tanto, incurrió en negligencia grave. Pero ser víctima de un engaño sofisticado no implica automáticamente haber actuado con una negligencia de este tipo. La entidad debe acreditar las circunstancias concretas que justifiquen esa acusación.. Por último, los bancos cuentan con mecanismos de autenticación reforzada y sistemas destinados a detectar operaciones sospechosas. Si una transferencia presenta características claramente anómalas respecto al comportamiento habitual del cliente, también puede ser necesario analizar si la entidad aplicó correctamente sus medidas de prevención del fraude.. ¿Qué hacer si el banco se niega a devolver el dinero?. Ante una negativa, lo primero es conservar todas las pruebas. Hay que guardar correos, SMS, capturas de pantalla, registros de llamadas, enlaces utilizados por los estafadores y extractos bancarios en los que aparezcan las operaciones fraudulentas.. Después, conviene denunciar los hechos ante la Policía Nacional o la Guardia Civil, detallando el método utilizado, las fechas, los importes y los destinatarios de las transferencias.. El siguiente paso es presentar una reclamación formal ante el Servicio de Atención al Cliente (SAC) del banco. En ella se debe solicitar el reintegro de las cantidades, explicar que las operaciones no fueron autorizadas y adjuntar tanto la denuncia como las pruebas disponibles.. Si la entidad mantiene su negativa, puede ser recomendable acudir a un profesional especializado en reclamaciones bancarias para estudiar las opciones disponibles, incluida la vía judicial.
Las ciberamenazas se han convertido en un riesgo cada vez más habitual en la vida digital y afectan tanto a empresas y administraciones como a particulares. España figura entre los países europeos más expuestos: durante el segundo semestre de 2025 se registraron 605 incidentes significativos, una media de tres ataques graves al día, según NTT Data.. Entre las técnicas más utilizadas se encuentra el phishing, basado en engañar a la víctima mediante el envío de correos electrónicos que suplantan a una entidad legítima para obtener sus datos bancarios. Pero, ¿qué ocurre cuando el engaño funciona y los ciberdelincuentes consiguen sacar dinero de una cuenta? ¿Puede el banco lavarse las manos y negarse a devolver las cantidades sustraídas?. «La respuesta corta es no, en la inmensa mayoría de los casos el banco no puede lavarse las manos ni culparte sin aportar pruebas contundentes. Aunque la entidad financiera intente cerrar el expediente alegando que introdujiste voluntariamente tus claves, el marco legal español y europeo te ampara», explica el portal de reclamaciones reclamador.es.. ¿Qué dice la ley?. El Real Decreto-ley 19/2018, que regula los servicios de pago, establece como principio general que el usuario tiene derecho a recuperar el importe de una operación de pago que no haya autorizado.. En los casos de phishing, el hecho de que una transferencia se haya confirmado utilizando una contraseña, un código SMS u otro mecanismo de seguridad no demuestra por sí solo que el titular haya dado su consentimiento. La víctima puede haber introducido sus claves pensando que estaba tratando con su banco cuando, en realidad, estaba siendo engañada por un ciberdelincuente.. La entidad financiera solo puede eludir su responsabilidad si consigue demostrar que el cliente actuó con negligencia grave. Además, la evolución de la normativa y de la jurisprudencia europea está reforzando la protección de los consumidores frente a este tipo de fraudes.. Excusas más habituales de los bancos. Una de las respuestas más frecuentes de las entidades es argumentar que «la operación se validó correctamente con su clave secreta y código SMS». Sin embargo, que el sistema haya autenticado técnicamente una operación no significa necesariamente que el titular autorizara con «consentimiento informado».. También es habitual que el banco alegue que el cliente entregó sus credenciales a un tercero y que, por tanto, incurrió en negligencia grave. Pero ser víctima de un engaño sofisticado no implica automáticamente haber actuado con una negligencia de este tipo. La entidad debe acreditar las circunstancias concretas que justifiquen esa acusación.. Por último, los bancos cuentan con mecanismos de autenticación reforzada y sistemas destinados a detectar operaciones sospechosas. Si una transferencia presenta características claramente anómalas respecto al comportamiento habitual del cliente, también puede ser necesario analizar si la entidad aplicó correctamente sus medidas de prevención del fraude.. ¿Qué hacer si el banco se niega a devolver el dinero?. Ante una negativa, lo primero es conservar todas las pruebas. Hay que guardar correos, SMS, capturas de pantalla, registros de llamadas, enlaces utilizados por los estafadores y extractos bancarios en los que aparezcan las operaciones fraudulentas.. Después, conviene denunciar los hechos ante la Policía Nacional o la Guardia Civil, detallando el método utilizado, las fechas, los importes y los destinatarios de las transferencias.. El siguiente paso es presentar una reclamación formal ante el Servicio de Atención al Cliente (SAC) del banco. En ella se debe solicitar el reintegro de las cantidades, explicar que las operaciones no fueron autorizadas y adjuntar tanto la denuncia como las pruebas disponibles.. Si la entidad mantiene su negativa, puede ser recomendable acudir a un profesional especializado en reclamaciones bancarias para estudiar las opciones disponibles, incluida la vía judicial.
