Haber teclado el código que le pedía el SMS no convierte la transferencia en una operación autorizada. La normativa de servicios de pago obliga al banco a devolver al cliente las operaciones que este no ha consentido, y el consentimiento que un tercero le arranca haciéndose pasar por BBVA no es su consentimiento a ese pago. Sobre esa base los juzgados y las Audiencias Provinciales, la de A Coruña entre ellas, vienen condenando a entidades a reintegrar lo sustraído en casos de phishing y smishing en los que el propio cliente había facilitado sus claves engañado.
Eso no significa que el banco lo devuelva solo ni que lo devuelva siempre. BBVA, como cualquier entidad, puede oponer que el cliente actuó con negligencia grave, y ahí es donde se gana o se pierde la reclamación. Lo que sigue es lo que debe saber ahora que el dinero ya ha salido.
Cómo funciona la estafa del código y por qué el dinero sale tan deprisa
El mensaje imita las alertas de BBVA y avisa de una transferencia que usted no ha hecho, con cifras que se repiten en las alertas publicadas, 14.990 euros u 8.600 euros, y un código para «autorizarla» o un teléfono para «cancelarla». Si pincha el enlace, llega a una página clonada donde introduce usuario, contraseña y el código que acaba de recibir. Ese código es la clave de un solo uso con la que el estafador, que está operando en paralelo desde su propio dispositivo, confirma la transferencia real. Si llama al teléfono, le atiende el propio estafador, que se presenta como el departamento de fraude y le pide más códigos, le hace instalar una aplicación de control remoto o le convence de mover el saldo a una «cuenta segura».
El dato técnico que importa para la reclamación es que el remitente de un SMS se puede falsificar. El mensaje falso aparece en el mismo hilo de conversación que las alertas auténticas de BBVA, debajo de avisos reales de compras con tarjeta. Cómo distinguirlo antes de pinchar ya lo expliqué en el artículo sobre el SMS o la llamada de BBVA y no lo repito aquí.
Qué se puede recuperar y de quién
Hay dos vías que corren a la vez y no se excluyen. La primera es la devolución por parte del banco, que no depende de que se localice al estafador. Alcanza a las operaciones que usted no ordenó, aunque se ejecutasen con sus claves, porque la autenticación con una clave obtenida por engaño no equivale a su orden de pago. La segunda es la recuperación del dinero a través del proceso penal, cuando la policía identifica las cuentas de destino y el juzgado acuerda su bloqueo, algo que solo funciona si se actúa en los primeros días. Lo que el banco está obligado a devolver en una ciberestafa lo traté con carácter general en otro artículo.
La situación cambia si fue usted quien ejecutó la transferencia convencido por el falso gestor de que ponía su dinero a salvo. Ahí la operación sí la ordenó el cliente, y la responsabilidad del banco se discute en otros términos, con argumentos sobre los sistemas de detección de operaciones anómalas y las alertas que no saltaron. Es un caso más difícil, no un caso perdido.
Que el SMS se colase en el hilo real de BBVA, que la página clonada reprodujera fielmente la del banco y que la operación fuese de un importe y a un destino sin precedentes en su cuenta son hechos que pesan contra la negligencia grave que el banco va a alegar. Cómo se plantea la reclamación con esos hechos, ante quién y con qué prueba, es trabajo del abogado. En el despacho dirigimos estas reclamaciones frente a la entidad y la denuncia penal en paralelo, dentro del área de delitos informáticos y fraude bancario.
Las primeras horas deciden la prueba y parte del dinero
Llame a BBVA por el teléfono que figura en su tarjeta o en la aplicación, nunca por el del SMS, comunique que no reconoce la operación y pida el bloqueo de claves, tarjetas y dispositivos vinculados. Pida que conste la hora de su llamada. Si el falso gestor le hizo instalar algo en el móvil, desconéctelo de internet y no lo restaure ni lo formatee, porque ese teléfono es prueba.
No borre el hilo de SMS ni el mensaje falso. Haga capturas de pantalla del mensaje, de la página a la que le llevó el enlace si aún está abierta, de los movimientos de la cuenta y de los avisos de la aplicación. Guarde el número desde el que le llamaron y la hora. Si recibió correos o notificaciones del banco durante la operación, conserve también eso.
Denuncie en Policía Nacional o Guardia Civil con toda esa documentación. No firme ningún documento del banco en el que reconozca haber autorizado la transferencia ni acepte una explicación verbal de que «al dar el código la operación es suya». Y no vuelva a hablar con nadie que le llame diciendo ser de BBVA o de la policía para «ayudarle a recuperar» el dinero, porque la segunda llamada forma parte de la misma estafa.
El delito que han cometido y sus penas
Lo que le han hecho es una estafa informática del artículo 248.2.a) del Código Penal, que castiga a quien con ánimo de lucro y valiéndose de una manipulación informática o artificio semejante consigue una transferencia no consentida de un activo patrimonial. La pena, según el artículo 249, es de prisión de seis meses a tres años cuando lo defraudado supera los 400 euros. Si supera los 50.000 euros o el fraude afecta a un elevado número de personas, el artículo 250 eleva la pena a prisión de uno a seis años y multa.
Si le hicieron instalar una aplicación de control remoto o alteraron los datos del teléfono, puede añadirse el delito de daños informáticos del artículo 264 y el de acceso ilícito a sistemas del artículo 197 bis, del que hablé a propósito del hackeo de cuentas.
| Conducta | Artículo del Código Penal | Pena | Prescripción |
|---|---|---|---|
| Estafa informática hasta 400 euros | 248.2.a) y 249 | Multa de uno a tres meses | Un año |
| Estafa informática de más de 400 euros | 248.2.a) y 249 | Prisión de seis meses a tres años | Cinco años |
| Estafa de más de 50.000 euros o a muchas víctimas | 250 | Prisión de uno a seis años y multa de seis a doce meses | Diez años |
| Daños informáticos en el dispositivo | 264 | Prisión de seis meses a tres años | Cinco años |
| Blanqueo por imprudencia grave (la mula) | 301.3 | Prisión de seis meses a dos años y multa | Cinco años |
La última fila le afecta si el falso gestor le hizo recibir dinero de otra persona y reenviarlo, o si prestó su cuenta a alguien para «un pago que no podía hacer». Quien deja pasar por su cuenta dinero de una estafa responde por blanqueo de capitales aunque no supiera de dónde venía, si debió sospecharlo. Es una posición que exige defensa desde el primer requerimiento policial, antes de declarar.
Dónde se denuncia y qué pasa si la causa se archiva
El estafador suele operar desde otra provincia o desde el extranjero, pero eso no le obliga a litigar fuera. El criterio del Tribunal Supremo para las estafas informáticas permite que investigue el juzgado del lugar donde la víctima tenía la cuenta de la que salió el dinero, de modo que un cliente de A Coruña denuncia aquí y se le instruye aquí.
Lo habitual es que la instrucción identifique las cuentas de destino, que suelen ser de mulas, y no al organizador. Cuando no hay autor conocido el juzgado acuerda el sobreseimiento provisional, que no es una absolución ni un cierre definitivo. La causa se reabre si aparece el autor mientras el delito no haya prescrito, y lo que ya se ha obtenido en ella, los informes policiales, la trazabilidad del dinero y los oficios al banco, sirve para la reclamación frente a BBVA, que sigue su propio camino con independencia del penal. La acción civil contra la entidad, por su parte, se rige por el plazo general de cinco años del artículo 1964 del Código Civil, así que la prisa de estos asuntos está en la prueba y en el bloqueo de los fondos, no en la demanda.
Qué hacemos en el despacho con un caso así
Si lo reclama por su cuenta, el riesgo concreto es doble. Puede recibir un «no» de BBVA por negligencia grave que acepte como definitivo, y puede dejar pasar las semanas en las que el dinero todavía era rastreable mientras espera respuesta. En el despacho ejercemos la defensa penal del perjudicado, reclamamos la devolución a la entidad con la prueba técnica que desmonta la negligencia grave y, si hace falta, llevamos su caso a los tribunales. Puede llamar al +34 677 841 007 o escribir desde la página de contacto. Cuando llame, tenga delante el SMS sin borrar, las capturas de los movimientos, la hora en que avisó a BBVA, el justificante de la denuncia si ya la ha puesto y cualquier escrito que el banco le haya enviado desde entonces.
Preguntas frecuentes
¿BBVA me tiene que devolver el dinero si fui yo quien metió el código del SMS falso?
Como regla, sí. La normativa de servicios de pago obliga al banco a devolver las operaciones no autorizadas, y una transferencia que ejecuta un tercero con un código que le sacó mediante engaño no la ha autorizado usted. El banco puede negarse alegando negligencia grave, y ahí es donde se discute la reclamación. Que el mensaje apareciera en el hilo real de BBVA y que la página fuese una copia del banco juegan a su favor.
¿Tengo que denunciar en la policía antes de reclamar al banco?
No es un requisito legal para que el banco devuelva, pero conviene hacerlo cuanto antes y presentar la denuncia junto con la reclamación. BBVA suele pedir el justificante, y la denuncia es lo que permite que se bloqueen las cuentas de destino y que se investigue a quien recibió el dinero. Se puede comunicar la operación al banco primero, por teléfono, y denunciar el mismo día.
Ya llamé al número del SMS y le di más datos al supuesto gestor, ¿puedo reclamar igual?
Sí. Haber hablado con el estafador no convierte en autorizadas las operaciones que él hizo con sus claves. Lo que sí tiene que hacer es contarlo tal cual en la denuncia y al banco, con la hora de la llamada y el número, porque ocultarlo y que aparezca después en los registros del banco es lo que de verdad perjudica la reclamación. Si hizo usted mismo alguna transferencia por indicación de esa persona, dígalo también, porque esa operación se reclama de otro modo.
¿Me compensa reclamar a BBVA con abogado o lo hago yo?
Depende de la cuantía y de la respuesta del banco. Si BBVA ha devuelto el importe en los primeros días, no necesita a nadie. Si la cantidad es de unos pocos cientos de euros y el banco la rechaza, el coste de un abogado puede superar lo que recupere, y en ese caso tiene sentido agotar la reclamación interna del banco por su cuenta. A partir de cuantías de miles de euros, cuando el banco alega negligencia grave o cuando usted mismo hizo alguna transferencia engañado, el asunto se decide con prueba técnica y argumentación jurídica, y ahí sí compensa. Hasta 15.000 euros la demanda va por juicio verbal, que es más ágil, y las sentencias de las Audiencias en casos de phishing vienen dando la razón al cliente con frecuencia.