Cuatrocientos euros. Esa es la cifra del artículo 249 del Código Penal que separa, cuando una transferencia sale de su cuenta sin su consentimiento, un delito leve de estafa castigado con multa de uno a tres meses de un delito con pena de prisión de seis meses a tres años. Una transferencia no autorizada es la que se ejecuta sin que el titular de la cuenta la haya consentido, porque alguien entró con sus claves, le duplicó la tarjeta SIM o le engañó para que facilitara un código, y la normativa de servicios de pago obliga al banco a devolver su importe salvo que pueda sostener que hubo fraude o negligencia grave del cliente. Cuánto tarda en devolverlo depende poco del plazo legal, que es breve, y mucho de lo que decida la entidad al cerrar su investigación.
Bloquear, conservar y no contestar, lo que solo depende de usted esta tarde
Avise al banco por el teléfono de emergencias que figura en la tarjeta o en la app, nunca por el que le dé quien le llama ni por el que venga en un SMS. Pida el bloqueo del acceso a la banca digital y de las tarjetas, y que la entidad solicite a la de destino la retención de los fondos. Una transferencia ejecutada es irrevocable, pero mientras el dinero no se haya movido de la cuenta receptora el banco de destino puede retenerlo y devolverlo, y esa gestión solo prospera en las primeras horas.
Conserve todo. Los SMS y correos recibidos, aunque parezcan burdos, el registro de llamadas del móvil con hora y número, las capturas de la app con la operación y la cuenta de destino, y cualquier aplicación que le hayan hecho instalar, sin desinstalarla. Si alguien entró en su correo o en sus cuentas, ese acceso tiene su propio delito, que explico en el artículo sobre el acceso ilícito a sistemas.
No vuelva a llamar al número del estafador, no haga ninguna transferencia «de prueba» ni «para anular la anterior» y no firme ningún documento del banco en el que reconozca haber autorizado la operación o haber cedido sus claves voluntariamente. Esa firma es la que después se usa para denegar la devolución.
Transferencia bancaria no autorizada, qué entra en la definición y qué se queda fuera
La ley distingue tres situaciones que el cliente suele vivir como la misma. La primera es la operación ejecutada sin ninguna intervención suya, porque alguien accedió a su banca digital con credenciales robadas, instaló un programa de control remoto en su ordenador o consiguió un duplicado de su tarjeta SIM y recibió los códigos de confirmación. Ahí no hay discusión sobre si es no autorizada.
La segunda es la operación confirmada con un código que usted mismo introdujo o facilitó engañado, tras una llamada de quien decía ser del departamento de fraude del banco, un SMS con enlace a una web idéntica a la de su entidad o un correo de aspecto oficial. El consentimiento obtenido con engaño no es consentimiento, y por eso estas operaciones se vienen tratando como no autorizadas, pero es el terreno en el que el banco opone la negligencia grave del cliente y donde se decide la mayoría de las reclamaciones.
La tercera es la transferencia que usted ordenó sabiendo a quién la enviaba, a un falso vendedor, a una supuesta plataforma de inversión o a quien se hizo pasar por un familiar. La operación está autorizada aunque el motivo fuera una estafa, y frente al banco la posición es mucho más débil. El camino principal es el penal contra el autor, y el civil contra la entidad solo se abre si hubo fallos propios del banco en la ejecución o en la vigilancia de la operación. Lo que la entidad está obligada a devolver en cada supuesto lo desarrollo en el artículo sobre la ciberestafa.
Transferencia no autorizada en BBVA, Santander o cualquier otra entidad, el plazo legal y el plazo real
La obligación es la misma para todas las entidades que operan en España, desde los grandes bancos hasta las entidades de pago y los neobancos con licencia europea, porque nace de la normativa de servicios de pago y no del contrato de cada una. Esa normativa fija para la devolución un plazo que se cuenta en días hábiles, no en semanas, y solo permite al banco apartarse de él en supuestos tasados.
Lo que de verdad tarda es otra cosa. El banco abre una investigación interna, suele contestar con una carta tipo en la que atribuye la operación a la negligencia grave del cliente por haber facilitado las claves, y a partir de esa carta se abre la reclamación formal ante su servicio de atención al cliente, después ante el Banco de España, que resuelve con un informe que no vincula a la entidad, y por último ante el juzgado, que es el único que puede condenar a devolver. Cada escalón tiene su plazo y sus requisitos de forma, y cómo se plantea cada uno para que el siguiente no se pierda es trabajo del abogado. En el despacho dirigimos esa reclamación desde la primera carta, de modo que lo que se dice al banco sea ya lo que después sostendrá la demanda; lo que hacemos está en la página de fraude bancario y delitos informáticos.
Hay casos en los que no compensa litigar. Si la cantidad es de unos pocos cientos de euros y el banco ya ha devuelto la mayor parte, o si la transferencia la ordenó usted a sabiendas a un vendedor que resultó ser falso y la entidad no cometió ningún fallo propio, el coste del pleito supera lo que puede recuperar y lo honesto es decirlo en la primera consulta. Cuando la cuantía es relevante o la carta del banco se apoya solo en que «el cliente facilitó las claves», la reclamación tiene recorrido. La cuantía cambia además la pena del autor y la vía civil contra el banco.
| Cuantía de la transferencia | Lo que cambia según la ley |
|---|---|
| Hasta 400 euros | Delito leve de estafa, multa de uno a tres meses (artículo 249 del Código Penal) |
| Más de 400 euros | Delito de estafa, prisión de seis meses a tres años (artículo 249 del Código Penal) |
| Hasta 15.000 euros | La demanda civil contra el banco se tramita como juicio verbal (artículo 250.2 de la Ley de Enjuiciamiento Civil, tras el Real Decreto-ley 6/2023) |
| Más de 50.000 euros | Estafa agravada, prisión de uno a seis años y multa de seis a doce meses (artículo 250.1.5.º del Código Penal) |
| Más de 250.000 euros | Prisión de cuatro a ocho años y multa de doce a veinticuatro meses (artículo 250.2 del Código Penal) |
Estafa informática del artículo 248.2, la denuncia y el juzgado que toca
La transferencia obtenida con claves robadas o con un código arrancado mediante engaño encaja en el artículo 248.2 del Código Penal, que castiga como estafa a quien, con ánimo de lucro y valiéndose de una manipulación informática o de un artificio semejante, consigue una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro. Las penas son las de la tabla, y la agravación por cuantía se aplica al importe total aunque el dinero saliera en varias operaciones de una misma maniobra.
La denuncia no es un requisito legal para que el banco devuelva, pero las entidades la exigen en la práctica y conviene presentarla el mismo día, en comisaría de Policía Nacional, en puesto de la Guardia Civil o en el juzgado de guardia, con el justificante de la operación y la cuenta de destino. Sirve para que se oficie a la entidad receptora, se identifique al titular de esa cuenta y se bloqueen los fondos, y es lo que permite más adelante reclamar la responsabilidad civil dentro del proceso penal.
Sobre dónde se denuncia hay una duda frecuente, porque el dinero suele acabar en una cuenta de otra provincia o de otro país. El Tribunal Supremo viene fijando la competencia en estas estafas en el lugar donde la víctima realizó el acto de disposición, de modo que, como regla, el juzgado competente es el de donde usted estaba cuando se ejecutó la operación y no el de la cuenta de destino. Para una víctima de A Coruña, eso significa instrucción en A Coruña.
El delito del artículo 248.2 prescribe al año en su modalidad leve, a los cinco años en la básica y a los diez en las agravadas, conforme al artículo 131 del Código Penal, y la acción civil contra el banco, a los cinco años del artículo 1964 del Código Civil. Son plazos largos para el calendario y cortos para la prueba, porque los registros de acceso y las grabaciones de las llamadas del banco no se guardan indefinidamente.
Archivo por autor desconocido, la cuenta mula y lo que sigue vivo contra el banco
Lo habitual es que la instrucción identifique al titular de la cuenta receptora y poco más. Ese titular suele ser una «mula», una persona que cedió su cuenta a cambio de una comisión o que la abrió engañada con una falsa oferta de trabajo, y quien movió el dinero desde allí no aparece. Cuando el juzgado no logra identificar al autor, dicta el sobreseimiento provisional del artículo 641 de la Ley de Enjuiciamiento Criminal, que no es una absolución y que se reabre si surgen datos nuevos.
El archivo de la causa penal no afecta a la obligación del banco. Son dos relaciones distintas, la suya con la entidad por el contrato de cuenta y la del Estado con el estafador, y la primera se reclama con independencia de que la segunda termine en condena, en archivo o en nada.
Si usted está al otro lado, porque recibió dinero en su cuenta y lo reenvió siguiendo instrucciones de alguien, tiene un problema propio. El artículo 301 del Código Penal castiga el blanqueo de capitales, y su apartado 3 castiga la modalidad imprudente con prisión de seis meses a dos años y multa del tanto al triplo del dinero movido, sin que haga falta probar que sabía de dónde venía. A eso se suma la responsabilidad civil frente a la víctima por el importe íntegro. Quien se ve en esa situación necesita defensa penal antes de declarar, no después.
«Tu transferencia no fue autorizada por el banco emisor», el aviso que describe el caso inverso
Ese mensaje significa que usted ordenó una transferencia y su propio banco la detuvo, normalmente porque sus sistemas de prevención de fraude detectaron un destinatario nuevo, un importe inusual o un acceso desde un dispositivo desconocido. No hay dinero perdido ni operación no autorizada, hay una orden retenida que se desbloquea confirmándola por el canal oficial de la entidad. Si la retención se mantiene sin explicación y le causa un perjuicio, por ejemplo el vencimiento de un pago, ese perjuicio sí es reclamable.
Preguntas frecuentes
¿Cómo reporto una transferencia no autorizada?
Llamando al teléfono de fraude de su banco que figura en la tarjeta o en la app, nunca al que le facilite un tercero, y pidiendo en esa misma llamada el bloqueo de accesos y la retención de los fondos en destino. Después, presente denuncia el mismo día y comunique la operación por escrito a la entidad, conservando el número de incidencia y toda la prueba del engaño.
Si yo mismo introduje la clave o el código SMS engañado, ¿sigue siendo una operación no autorizada o se considera negligencia grave?
Sigue siendo, como regla, una operación no autorizada, porque el consentimiento obtenido mediante engaño no es consentimiento. El banco suele calificarlo como negligencia grave para denegar la devolución, y que esa calificación se sostenga o no depende de las circunstancias concretas del engaño y de cómo se acrediten ante la entidad y ante el juzgado, que es el trabajo del abogado.
Con la carta del banco encima, el paso que sigue y quién lo da
Si la operación es de hoy, el paso es suyo y es el del primer apartado, bloquear, conservar y denunciar. Si ya tiene la carta del banco denegando la devolución, o han pasado semanas sin respuesta, el paso siguiente es la reclamación formal, y conviene que lo dé el abogado, porque lo que se escriba en ella fija la posición ante el Banco de España y ante el juzgado, y lo que se omita no se recupera después. En el despacho ejercemos la defensa penal del perjudicado y dirigimos la reclamación civil contra la entidad; lo que hacemos está en fraude bancario y delitos informáticos, y puede plantearnos su caso en el +34 677 841 007 o a través de /contacto/.