¿Quién paga cuando te estafan? Cuándo debe devolverte el dinero el banco y cuándo puedes perderlo
¿Quién paga cuando te estafan? Cuándo debe devolverte el dinero el banco y cuándo puedes perderlo
Recibes una llamada de alguien que asegura trabajar para tu banco. Te advierte de un movimiento sospechoso y, después de seguir sus instrucciones, descubres que han desaparecido 3.000 euros de tu cuenta. Contactas con la entidad, denuncias lo ocurrido y solicitas recuperar el dinero. Pero el banco responde que la operación se realizó utilizando tus claves y que no puede devolvértelo. ¿Tiene razón? ¿Quién debe asumir las pérdidas de una estafa bancaria? La respuesta depende de una diferencia fundamental: si el dinero salió de tu cuenta sin tu autorización o si realizaste un pago porque alguien consiguió engañarte.
Las estafas financieras han cambiado considerablemente durante los últimos años.
Antes, uno de los principales objetivos de los delincuentes era conseguir una tarjeta bancaria, descubrir una contraseña o acceder directamente a una cuenta.
Hoy siguen existiendo esas amenazas, pero también han aumentado las técnicas de ingeniería social.
Los estafadores pueden hacerse pasar por empleados bancarios, familiares, proveedores o representantes de organismos públicos.
En ocasiones no necesitan robar ninguna contraseña.
Les basta con convencer a la víctima para que realice un pago.
Esta evolución ha introducido una cuestión especialmente importante para los consumidores: determinar quién debe soportar económicamente una operación fraudulenta.
Que exista una estafa no significa automáticamente que el banco esté obligado a devolver el dinero. Pero tampoco significa que pueda rechazar cualquier reclamación alegando que se utilizaron las credenciales del cliente.
La legislación española establece derechos y obligaciones diferentes según las circunstancias.
El fraude en pagos alcanzó los 4.200 millones de euros en Europa
La dimensión del problema ayuda a comprender por qué la responsabilidad por las estafas financieras se ha convertido en una cuestión fundamental.
Según el informe conjunto publicado por la Autoridad Bancaria Europea (EBA) y el Banco Central Europeo (BCE) el 15 de diciembre de 2025, el importe de las operaciones de pago fraudulentas registradas en el Espacio Económico Europeo alcanzó los 4.200 millones de euros durante 2024.
La cifra supone un incremento frente a los 3.500 millones de euros registrados en 2023.
El informe también identificó una característica especialmente relevante.
En las transferencias bancarias fraudulentas, los usuarios soportaron aproximadamente el 85% de las pérdidas económicas durante 2024.
Según las autoridades europeas, este resultado estuvo relacionado principalmente con estafas que consiguieron que los propios clientes iniciaran operaciones fraudulentas.
La autenticación reforzada continúa siendo eficaz frente a muchas modalidades tradicionales de fraude.
Pero cuando un delincuente consigue que el usuario realice personalmente el pago, el problema deja de depender exclusivamente de quién tiene acceso a la cuenta.
También importa por qué se ha ordenado la operación.
La gran diferencia: un pago no autorizado frente a uno realizado bajo engaño
Para comprender quién puede asumir las pérdidas debemos distinguir dos situaciones.
En la primera, un delincuente consigue acceder a nuestra banca digital y realiza una transferencia sin nuestro consentimiento.
Por ejemplo, roba las credenciales, compromete un dispositivo o utiliza fraudulentamente nuestros datos bancarios.
En la segunda, somos nosotros quienes accedemos a la aplicación oficial y ordenamos una transferencia porque alguien nos ha convencido mediante una historia falsa.
Podría tratarse de una supuesta cuenta segura, una factura manipulada o una compraventa fraudulenta.
En ambos casos existe un perjuicio económico.
Sin embargo, desde el punto de vista de los servicios de pago, las operaciones pueden tener una consideración jurídica distinta.
| Situación | Ejemplo | Consecuencia general |
|---|---|---|
| Operación no autorizada | Un tercero accede a la cuenta y ordena un pago sin consentimiento. | Se aplica el régimen legal de reembolso, sujeto a las excepciones previstas. |
| Transferencia ordenada bajo engaño | La víctima transfiere dinero a una falsa cuenta segura. | No existe una devolución automática en todos los casos; deben analizarse las circunstancias. |
| Pago con tarjeta por una compra fraudulenta | El comprador paga, pero el vendedor nunca entrega el producto. | Pueden existir procedimientos de disputa, pero el resultado depende de la operación y de las reglas aplicables. |
| Error imputable al banco | La entidad ejecuta duplicadamente una transferencia. | Pueden existir obligaciones de rectificación y responsabilidad de la entidad. |
En TerritorioFintech analizamos esta distinción en La estafa perfecta: cuando eres tú mismo quien autoriza el fraude.
Es una diferencia que puede cambiar completamente el procedimiento de reclamación y las posibilidades de recuperación.
Si alguien entra en tu cuenta y roba dinero, ¿debe responder el banco?
La legislación española establece un régimen específico de protección para las operaciones de pago no autorizadas.
El Real Decreto-ley 19/2018, de servicios de pago, regula los derechos y obligaciones de usuarios y proveedores financieros.
Su artículo 45 establece que, cuando se ejecuta una operación no autorizada, el proveedor de servicios de pago debe devolver su importe inmediatamente y, como máximo, al finalizar el siguiente día hábil desde que conoce o recibe la notificación correspondiente.
Existen excepciones legales, entre ellas cuando el proveedor tiene motivos razonables para sospechar fraude y comunica esos motivos por escrito al Banco de España conforme al procedimiento establecido.
Además, deben considerarse las reglas sobre responsabilidad del cliente previstas en el artículo 46.
Por tanto, el reembolso de una operación no autorizada no depende simplemente de que la entidad termine primero una investigación interna de duración indefinida.
La regulación establece obligaciones específicas y plazos concretos.
El texto puede consultarse en el Real Decreto-ley 19/2018 publicado en el BOE.
¿Y si el delincuente utilizó tus contraseñas o un código SMS?
Esta es una de las cuestiones que más controversias provoca.
Imaginemos que recibimos un mensaje que aparentemente procede del banco.
Nos advierte de un problema de seguridad y nos dirige a una página que imita perfectamente la web oficial de la entidad.
Introducimos nuestras credenciales.
Después, el delincuente utiliza esa información para intentar realizar una transferencia.
Cuando reclamamos, el banco responde que la operación fue autenticada mediante claves correctas.
¿Es suficiente ese argumento para rechazar la devolución?
No necesariamente.
El artículo 44 del Real Decreto-ley 19/2018 establece que corresponde al proveedor demostrar la correcta autenticación, registro y contabilización de la operación, así como la ausencia de determinadas deficiencias del servicio.
También aclara que el registro del uso de un instrumento de pago no basta necesariamente para demostrar que el usuario autorizó la operación o actuó fraudulentamente o con negligencia grave.
Esto significa que utilizar las credenciales correctas no equivale automáticamente a demostrar el consentimiento válido del titular.
El banco debe valorar las circunstancias concretas y acreditar los hechos relevantes cuando pretende quedar exonerado de responsabilidad.
La sentencia del Tribunal Supremo que reforzó la protección frente al phishing
El debate recibió un impulso importante con la sentencia 571/2025, de 9 de abril, del Tribunal Supremo.
El caso estaba relacionado con un fraude mediante duplicación de tarjeta SIM, conocido como SIM swapping, que permitió a los delincuentes acceder a la banca digital y ejecutar operaciones sin autorización del cliente.
El Tribunal Supremo confirmó la aplicación de un régimen de responsabilidad especialmente exigente para el proveedor de servicios de pago.
La sentencia subrayó que la entidad debe probar los hechos que permitan excluir su responsabilidad, incluida, cuando se alegue, la actuación fraudulenta o la negligencia grave del usuario.
También destacó que una operación correctamente registrada o autenticada no demuestra necesariamente que haya sido autorizada por el titular.
La resolución es relevante porque impide reducir el análisis de un fraude a una única pregunta: si se utilizaron las claves del cliente.
Sin embargo, debe interpretarse correctamente.
Esta sentencia no significa que cualquier transferencia realizada personalmente bajo engaño deba ser reembolsada automáticamente.
El caso examinaba operaciones no autorizadas y la responsabilidad de la entidad dentro de ese marco.
Para aplicar sus criterios a otros supuestos es necesario estudiar los hechos y determinar la naturaleza jurídica de los pagos.
¿Qué se considera negligencia grave del cliente?
La legislación establece obligaciones para los usuarios de servicios de pago.
Entre ellas se encuentran utilizar adecuadamente los instrumentos de pago, proteger sus credenciales y comunicar sin demora injustificada la pérdida, sustracción o uso indebido cuando tengan conocimiento de ello.
El artículo 46 contempla que el cliente pueda soportar las pérdidas de operaciones no autorizadas cuando haya actuado fraudulentamente o haya incumplido deliberadamente o por negligencia grave determinadas obligaciones.
Pero no cualquier error equivale automáticamente a negligencia grave.
Ser víctima de una página falsa, recibir una llamada convincente o introducir un código bajo engaño no permite concluir, sin examinar las circunstancias, que el usuario actuó con ese grado de negligencia.
Las entidades deben valorar qué ocurrió realmente y los elementos probatorios disponibles.
También importa la sofisticación de la estafa, las advertencias existentes, el comportamiento del usuario y las medidas de seguridad aplicadas.
Como explicamos en Vishing: cuando la llamada parece de tu banco, conoce tus datos y hasta puede imitar una voz real, los delincuentes pueden utilizar información auténtica y técnicas avanzadas para construir engaños especialmente difíciles de reconocer.
La valoración jurídica de la conducta del cliente debe realizarse caso por caso.
Los primeros 50 euros: ¿hay una franquicia que siempre paga el cliente?
Otra duda habitual tiene que ver con el límite de responsabilidad de 50 euros.
La normativa contempla determinados supuestos en los que el usuario puede soportar pérdidas de hasta 50 euros por operaciones no autorizadas derivadas de la utilización de un instrumento extraviado, sustraído o apropiado indebidamente.
Pero este límite no funciona como una franquicia universal aplicable a cualquier estafa bancaria.
La ley establece excepciones, por ejemplo, cuando no era posible detectar la pérdida o apropiación indebida antes del pago, salvo actuación fraudulenta del titular.
También existen reglas específicas para determinadas operaciones no presenciales y para los pagos realizados después de comunicar la pérdida o sustracción.
El Banco de España explica estas diferencias al abordar el robo o la clonación de tarjetas.
Por tanto, sería incorrecto afirmar que el cliente siempre debe pagar los primeros 50 euros de cualquier operación fraudulenta.
¿Quién paga si tú mismo realizas una transferencia al estafador?
Imaginemos ahora otra situación.
Recibimos una llamada de alguien que afirma trabajar en el departamento de seguridad de nuestra entidad.
Nos explica que nuestra cuenta está comprometida y que debemos proteger los ahorros transfiriéndolos a otra cuenta.
Accedemos a nuestra aplicación bancaria legítima.
Introducimos el importe y el IBAN.
Y confirmamos la transferencia.
Posteriormente descubrimos que la cuenta de destino pertenecía a los delincuentes.
En este caso, el análisis puede ser distinto al de una operación realizada por un tercero sin consentimiento.
La entidad puede considerar que el usuario ordenó personalmente el pago.
La transferencia puede haber sido ejecutada correctamente desde el punto de vista operativo, aunque la decisión estuviera motivada por un engaño.
En estas situaciones no existe necesariamente un derecho automático de devolución basado exclusivamente en el régimen de operaciones no autorizadas.
Eso no significa que el cliente deba renunciar a reclamar.
Pueden existir controversias sobre el consentimiento, la información proporcionada, los controles de seguridad o las obligaciones de la entidad, entre otras cuestiones.
Pero el resultado dependerá de las circunstancias y, en determinados casos, de una valoración judicial.
¿Tiene alguna responsabilidad el banco si no detectó una transferencia sospechosa?
Las entidades financieras deben gestionar los riesgos asociados a los servicios que prestan.
Esto incluye establecer mecanismos de seguridad y controles relacionados con las operaciones de pago.
En determinados casos, una transferencia puede presentar características inusuales.
Por ejemplo, un importe muy superior al habitual, la utilización de un dispositivo desconocido o un destinatario nuevo.
La presencia de señales de riesgo puede ser relevante al analizar cómo actuó la entidad.
Sin embargo, una operación inusual no demuestra automáticamente que el banco haya incumplido sus obligaciones.
Tampoco existe una regla general según la cual cualquier transferencia fraudulenta que no haya sido bloqueada deba ser reembolsada.
La responsabilidad dependerá del tipo de operación, de las obligaciones aplicables, de los controles disponibles y de los hechos acreditados.
El debate es especialmente importante porque los sistemas de autenticación pueden demostrar la identidad del usuario sin conocer necesariamente la historia falsa que le ha llevado a transferir dinero.
Por eso la industria financiera está desarrollando nuevas herramientas para detectar patrones asociados a la manipulación del ordenante.
¿Qué ocurre cuando te estafan mediante Bizum?
Las estafas con Bizum permiten observar perfectamente la importancia de distinguir entre diferentes situaciones.
Imaginemos que anunciamos un producto de segunda mano.
Un supuesto comprador nos asegura que quiere pagarlo mediante Bizum.
Sin embargo, en lugar de enviarnos dinero, genera una solicitud de pago.
Nosotros la aceptamos creyendo que estamos confirmando un ingreso.
El resultado es que hemos enviado dinero al estafador.
Es el denominado Bizum inverso.
En otros casos, los delincuentes se hacen pasar por familiares y solicitan transferencias urgentes.
La dificultad aparece cuando el usuario ha autorizado técnicamente el pago mediante el procedimiento habitual.
En estas situaciones, recuperar los fondos puede requerir gestiones con las entidades involucradas o actuaciones de las autoridades.
El hecho de que el pago se haya realizado mediante Bizum no crea automáticamente un derecho de devolución.
Por eso es importante recordar que recibir un Bizum ordinario no requiere aceptar una solicitud de dinero.
¿Y si pagas con tarjeta en una tienda falsa?
Las tarjetas presentan otra situación diferente.
Imaginemos que compramos un producto mediante una página web que aparenta pertenecer a una tienda legítima.
Autorizamos el pago correctamente.
Pero el vendedor nunca entrega el artículo.
El Banco de España explica que una operación de pago autorizada y un incumplimiento comercial del vendedor no son necesariamente la misma controversia.
En determinados casos, la entidad emisora puede tramitar una reclamación a través de los procedimientos de disputa establecidos por las redes de tarjetas.
Estos procedimientos pueden permitir recuperar fondos cuando se cumplen determinadas condiciones.
Pero no debe confundirse esa posibilidad con un derecho automático a que el banco asuma cualquier pérdida comercial.
El resultado depende de la naturaleza de la operación, de las reglas aplicables y de la documentación disponible.
En cambio, si se han realizado cargos con tarjeta sin autorización del titular, debe examinarse el régimen legal específico de operaciones no autorizadas.
La diferencia entre ambos escenarios resulta esencial.
¿Qué ocurre si el banco realiza mal una operación?
No todos los problemas con transferencias derivan de una estafa.
En ocasiones puede existir un error de ejecución.
Por ejemplo, si una entidad duplica una orden de transferencia o ejecuta incorrectamente una operación por una causa imputable a sus sistemas.
En estos casos, pueden resultar aplicables obligaciones específicas de rectificación y responsabilidad del proveedor.
El Banco de España distingue expresamente entre errores atribuibles al cliente y errores atribuibles a la entidad.
La diferencia es importante porque, cuando el banco ejecuta una operación de forma incorrecta, la solución jurídica puede ser distinta a la de un pago correctamente ejecutado hacia un destinatario seleccionado por el usuario.
Por eso, al reclamar, conviene identificar si estamos denunciando un fraude, una operación no autorizada o una ejecución incorrecta.
¿Quién responde cuando el dinero ya está en la cuenta del delincuente?
En una estafa, el responsable directo del engaño es quien ha cometido la conducta fraudulenta.
Pero identificar al delincuente y conseguir que restituya el dinero son cuestiones diferentes.
Los fondos pueden pasar rápidamente por diferentes cuentas o intermediarios.
En ocasiones, las cuentas receptoras pertenecen a terceros utilizados para mover dinero de procedencia delictiva.
El banco de origen no puede, con carácter general, retirar unilateralmente el importe de una transferencia ya ejecutada desde la cuenta del beneficiario.
El Banco de España recuerda la irrevocabilidad general de las transferencias y la necesidad de acudir a los mecanismos de recuperación correspondientes.
Sin embargo, cuando se comunica una estafa, el banco debe realizar las gestiones que correspondan para intentar recuperar los fondos.
El Banco de España considera una buena práctica que la entidad contacte con el banco receptor y realice esfuerzos razonables de recuperación.
Eso no significa que la recuperación esté garantizada.
Si el dinero ya ha sido retirado o transferido nuevamente, las posibilidades prácticas pueden reducirse considerablemente.
¿El banco receptor también puede tener responsabilidad?
En determinados fraudes intervienen varias entidades.
Una gestiona la cuenta de la víctima y otra mantiene la cuenta que recibe los fondos.
El banco receptor también tiene obligaciones legales relacionadas con su actividad, entre ellas determinadas medidas de prevención del blanqueo de capitales y de gestión de riesgos.
Sin embargo, la recepción de fondos fraudulentos en una cuenta no convierte automáticamente a esa entidad en responsable de indemnizar a la víctima.
Para determinar una eventual responsabilidad deben examinarse las circunstancias, las obligaciones incumplidas, cuando las haya, y la relación entre esas conductas y el daño producido.
Por tanto, no existe una respuesta universal que permita atribuir todas las pérdidas al banco receptor.
El nombre del destinatario y el IBAN: una nueva comprobación para prevenir errores
Desde el 9 de octubre de 2025, los proveedores de servicios de pago afectados por las obligaciones europeas deben ofrecer un servicio de verificación del beneficiario para determinadas transferencias en euros.
Este sistema permite comprobar si el nombre introducido por el ordenante coincide con el titular de la cuenta de destino.
El resultado puede indicar coincidencia, coincidencia aproximada, ausencia de coincidencia o imposibilidad de verificar.
La comprobación puede ayudar a detectar errores y determinadas suplantaciones.
Pero el usuario debe prestar atención a las advertencias.
Cuando una persona decide continuar con una transferencia pese a que el sistema señala una discrepancia entre el nombre y el IBAN, pueden existir consecuencias sobre la responsabilidad por enviar los fondos a un destinatario no deseado.
El servicio tampoco garantiza que una cuenta perteneciente a la persona indicada sea legítima o que la operación comercial no sea fraudulenta.
Una coincidencia correcta entre nombre e IBAN no demuestra que el beneficiario sea honesto.
La verificación reduce determinados riesgos, pero no sustituye las comprobaciones sobre el motivo del pago.
Cómo reclamar si el banco se niega a devolverte el dinero
Si hemos sufrido una estafa bancaria, lo primero es comunicar inmediatamente el incidente a la entidad.
Conviene facilitar los justificantes de las operaciones, los mensajes recibidos y cualquier otra información que permita explicar los hechos.
Si consideramos que el banco debe asumir la devolución, también debemos presentar una reclamación formal ante su Servicio de Atención al Cliente.
La reclamación debería identificar claramente:
- Las operaciones discutidas y sus importes.
- Las fechas en que se produjeron.
- Por qué consideramos que no fueron autorizadas o que existe una actuación incorrecta de la entidad.
- Cuándo comunicamos el incidente.
- Qué documentación y pruebas aportamos.
- Qué devolución o actuación solicitamos.
Es conveniente conservar una copia de la reclamación y su justificante de presentación.
En España, el plazo general de respuesta a reclamaciones relacionadas con servicios de pago es de 15 días hábiles, con las reglas específicas previstas para situaciones excepcionales.
Si la entidad no responde en plazo o su respuesta no resulta satisfactoria, podemos acudir al Banco de España mediante el procedimiento correspondiente.
¿El Banco de España puede obligar a tu entidad a pagar?
El Banco de España dispone de un procedimiento para analizar reclamaciones de clientes bancarios dentro de su ámbito de competencias.
Sin embargo, sus informes de reclamaciones no tienen carácter vinculante.
Esto significa que una resolución favorable puede resultar relevante para defender nuestra posición, pero no equivale necesariamente a una orden ejecutiva que obligue al banco a devolver el dinero.
Cuando existe una controversia que debe resolverse mediante una valoración judicial, puede ser necesario acudir a los tribunales.
El procedimiento y los costes dependerán de las circunstancias y de la cuantía reclamada.
Por eso conviene distinguir entre presentar una reclamación ante la entidad, acudir al supervisor y ejercitar, cuando corresponda, acciones judiciales.
¿Cuánto tiempo tenemos para comunicar una operación no autorizada?
El artículo 43 del Real Decreto-ley 19/2018 establece que las operaciones de pago no autorizadas o ejecutadas incorrectamente deben comunicarse sin demora injustificada desde que se tiene conocimiento de ellas.
También contempla, con carácter general, un plazo máximo de trece meses desde la fecha del adeudo para obtener la rectificación en los términos previstos legalmente.
Existen excepciones cuando el proveedor no ha facilitado la información correspondiente sobre la operación.
Este plazo no debe confundirse con una autorización para esperar trece meses antes de comunicar el fraude.
La actuación rápida continúa siendo fundamental.
Tampoco significa que todas las controversias derivadas de estafas tengan exactamente ese mismo plazo legal.
Las acciones y reclamaciones aplicables pueden variar según la naturaleza del caso.
Las primeras actuaciones pueden marcar la diferencia
Cuando descubrimos una estafa, conviene actuar sin demora.
La primera medida es interrumpir cualquier comunicación con el delincuente.
Después debemos contactar con el banco mediante un canal oficial.
Si existen credenciales comprometidas, también será necesario proteger los accesos y dispositivos afectados.
Conviene conservar pruebas y presentar una denuncia ante las autoridades policiales cuando corresponda.
También debemos desconfiar de supuestas empresas que prometen recuperar el dinero a cambio de pagos por adelantado.
Una estafa inicial puede ir seguida de nuevos intentos de engaño dirigidos a la misma víctima.
En España, INCIBE ofrece orientación gratuita en ciberseguridad mediante el teléfono 017.
Estas medidas no garantizan la recuperación del dinero, pero pueden facilitar la investigación y reducir el riesgo de nuevas pérdidas.
Entonces, ¿quién termina pagando cuando nos estafan?
La respuesta depende de lo ocurrido.
Si un tercero ha ejecutado una operación sin nuestro consentimiento, existe un marco legal específico de reembolso que protege al usuario y atribuye obligaciones importantes al proveedor financiero.
Si hemos ordenado personalmente una transferencia porque alguien nos ha engañado, recuperar el importe puede resultar más difícil y no existe una devolución automática en todos los casos.
Si se trata de una operación con tarjeta vinculada a una compra fraudulenta, pueden intervenir procedimientos de disputa diferentes.
Y si existe un error imputable a la entidad, pueden surgir obligaciones específicas de rectificación.
En todos los supuestos, el delincuente es el responsable de la conducta fraudulenta, pero conseguir que responda económicamente requiere identificarlo y utilizar las vías legales correspondientes.
La evolución tecnológica ha conseguido que enviar dinero sea cada vez más sencillo.
Pero también ha hecho que las diferencias entre autenticación, autorización, consentimiento y engaño resulten mucho más importantes.
La seguridad bancaria ya no consiste únicamente en impedir que alguien entre en una cuenta.
También consiste en proteger a las personas frente a los intentos de manipulación que pueden llevarlas a ordenar pagos perjudiciales.
Por eso resulta fundamental conocer nuestros derechos y entender qué obligaciones corresponden a las entidades financieras.
Que te hayan estafado no significa que necesariamente tengas que asumir toda la pérdida. Pero tampoco significa que el banco deba devolverte automáticamente cualquier cantidad.
La clave está en determinar quién realizó realmente la operación, si existió autorización válida, qué controles se aplicaron y qué establece la legislación para ese caso concreto.
Porque cuando desaparece dinero de una cuenta bancaria, identificar al delincuente es solo una parte del problema.
La otra es determinar quién debe responder económicamente frente a la víctima.
TerritorioFintech es un medio digital dirigido a la Digital Money Generation y especializado en la actualidad de los nuevos modelos bancarios y financieros. Su equipo editorial publica contenidos informativos y divulgativos con el objetivo de contribuir a mejorar la educación financiera de sus lectores.
Todos los contenidos tienen una finalidad exclusivamente informativa y educativa. En ningún caso deben interpretarse como asesoramiento financiero ni como recomendaciones de inversión.
