La llamada a CaixaBank para bloquear la cuenta parece un trámite menor, el mismo que se hace cuando se pierde una tarjeta en un taxi. En realidad es la comunicación que la normativa de servicios de pago exige al cliente para que el banco responda de una operación que no ha autorizado, y lo que el operador anote en ese momento será la primera versión de los hechos que CaixaBank tendrá delante cuando decida si devuelve el dinero o si sostiene que usted fue negligente. Quien llama con el susto en el cuerpo y resume lo ocurrido con un «he dado el código», sin explicar que lo dio porque el mensaje estaba dentro del hilo real del banco y alguien que se presentaba como su departamento de fraude se lo pedía, ha dejado anotado el argumento que le van a oponer. Hay que llamar cuanto antes, pero contar lo que pasó completo y por orden.
Qué le ha pasado exactamente
El SMS que recibió suplantaba a CaixaBank y le llevaba a una página que imitaba la banca digital de la entidad. Las plantillas cambian cada pocas semanas, pero el fondo se repite. Un aviso de que la cuenta ha sido bloqueada, una supuesta transacción que usted no reconoce y debe anular, un dispositivo nuevo que hay que verificar o una invitación a instalar una aplicación de seguridad. En la variante combinada, después de que usted introduzca sus datos en la web falsa suena el teléfono y alguien que se presenta como empleado de CaixaBank le pide, con mucha calma, los códigos que le están llegando para «anular» las operaciones sospechosas. Esos códigos son los que está usando el estafador en ese mismo instante para autorizarlas. Cómo reconocer el mensaje o la llamada antes de pinchar lo expliqué en otro artículo y no lo repito aquí.
Hay un detalle técnico que importa mucho en lo que viene después. En buena parte de estos casos el SMS falso aparece en el mismo hilo de conversación que los mensajes auténticos de CaixaBank, justo debajo del último aviso real de un cargo o de un código de acceso. Es la técnica conocida como «SMS spoofing», que falsea el remitente para que el teléfono lo agrupe con los legítimos, y ningún cliente dispone de medios para detectarla. Guarde ese hilo tal cual está, porque es la prueba de que el engaño venía envuelto en el canal del propio banco.
Lo que haya llegado a facilitar cambia el riesgo
Si solo abrió la página y la cerró sin escribir nada, el riesgo real es bajo. La web falsa no roba datos por el mero hecho de cargarse en un navegador actualizado, de modo que lo razonable es vigilar los movimientos durante unas semanas. Distinto es que el enlace descargase un archivo o le pidiera instalar algo.
Si introdujo usuario y contraseña de la banca digital, el estafador puede ver sus cuentas e intentar operaciones que requieran una segunda confirmación. Hay que cambiar las claves desde la aplicación oficial o desde una oficina, nunca desde el enlace recibido, y revisar si se ha dado de alta algún dispositivo o beneficiario nuevo.
Si facilitó los datos de la tarjeta, lo habitual es que aparezcan compras en línea o cargos recurrentes en los días siguientes. La tarjeta se bloquea y se sustituye, y cada cargo posterior se reclama como operación no autorizada.
Si además dio el código de confirmación que le llegó por SMS, o aprobó una notificación en CaixaBank Sign porque se lo pidió la persona que le llamaba, la operación consta para el banco como autenticada con sus credenciales. Sobre ese dato va a construir CaixaBank su negativa, porque desde su registro la transferencia parece ordenada por usted. Más abajo explico por qué eso no cierra la cuestión.
Si instaló una aplicación que le indicaron, dé por hecho que el teléfono está comprometido. Ese tipo de programas leen los SMS de confirmación y pueden ocultar las notificaciones del banco. El móvil hay que desconectarlo de internet y, una vez conservadas las pruebas de las que hablo a continuación, restaurarlo de fábrica. Si con ello han entrado también en su correo o en otras cuentas, lo traté aquí.
Las primeras horas
El dinero sale casi siempre por transferencia inmediata o por Bizum hacia cuentas de terceros, las llamadas mulas, que lo mueven o lo retiran en cuestión de horas. Por eso la primera llamada a CaixaBank, por el teléfono que figura en su tarjeta o en la web oficial y nunca por el que venga en el SMS, tiene que hacerse en cuanto detecte el cargo. Pida el bloqueo de la cuenta y de las tarjetas, la anulación de los accesos a la banca digital y que intenten recuperar las transferencias que todavía no estén liquidadas en destino. Pida también el número de incidencia. Sin él, demostrar más tarde cuándo avisó se complica.
Lo que no debe hacer es borrar nada. Conserve el SMS con el número de remitente visible y el hilo completo, haga capturas de la página falsa si aún está activa y anote la dirección web, la hora exacta de cada paso y el número desde el que le llamaron. Descargue el extracto con los movimientos fraudulentos. Si el teléfono tiene instalada la aplicación maliciosa, no lo restaure hasta tener todo eso guardado en otro dispositivo. La línea 017 del INCIBE, gratuita, puede orientarle en la parte técnica.
Después presente denuncia en la Policía Nacional o en la Guardia Civil con esa documentación. La denuncia no es un requisito legal para que el banco devuelva, pero en la práctica CaixaBank la pide, y el juzgado es el único que puede requerir a las entidades receptoras los datos de los titulares de las cuentas de destino y el bloqueo de lo que quede en ellas.
Está obligado CaixaBank a devolverle el dinero
La regla general es que sí. La normativa de servicios de pago obliga a la entidad a devolver el importe de toda operación que el cliente no haya autorizado, y es el banco quien tiene que probar lo contrario. La excepción con la que trabajan los servicios de atención al cliente es la negligencia grave del usuario, y en los casos de smishing la respuesta estándar de la entidad consiste en decir que usted facilitó voluntariamente sus claves y el código de confirmación a un tercero y que con ello incumplió su deber de custodia.
Esa respuesta no es el final del asunto. La negligencia grave no es cualquier descuido, sino una falta de diligencia muy acusada, y tanto el Banco de España en sus criterios para estos expedientes como los tribunales vienen distinguiendo entre quien entrega sus claves sin más y quien lo hace engañado por un mensaje que llega en el hilo oficial del banco seguido de una llamada que remata la puesta en escena. El spoofing del remitente pesa en su favor precisamente porque elimina la señal con la que un cliente razonable habría desconfiado. Junto al principal se reclaman las comisiones, los intereses de descubierto y los demás gastos que el fraude le haya ocasionado.
Cómo se redacta esa reclamación, qué se pide exactamente y qué se hace con la contestación de CaixaBank cuando llega es ya trabajo de abogado, y es lo que hacemos en el despacho dentro del área de delitos informáticos y fraude bancario. Lo que escribí sobre la devolución en ciberestafas en general vale también para esta entidad.
El delito que han cometido con usted
Lo que le ha ocurrido es una estafa informática del artículo 249 del Código Penal, en la redacción dada por la reforma de 2022, que castiga a quien mediante manipulación informática, o utilizando datos de tarjeta ajenos, consigue una transferencia no consentida en perjuicio de otro. La pena es de prisión de seis meses a tres años. Si lo defraudado no supera los 400 euros, el hecho es un delito leve castigado con multa de uno a tres meses. Cuando el importe excede de 50.000 euros, o la estafa afecta a un número elevado de personas, que es lo habitual en las campañas de SMS masivos, entra en juego el tipo agravado del artículo 250, con prisión de uno a seis años y multa de seis a doce meses. Si le hicieron instalar una aplicación que alteró el funcionamiento del teléfono, puede concurrir además el delito de daños informáticos del artículo 264, con prisión de seis meses a tres años.
| Conducta | Artículo del Código Penal | Pena |
|---|---|---|
| Estafa informática de hasta 400 euros | 249 | Multa de uno a tres meses |
| Estafa informática de más de 400 euros | 249 | Prisión de seis meses a tres años |
| Estafa de más de 50.000 euros o que afecta a muchas víctimas | 250 | Prisión de uno a seis años y multa de seis a doce meses |
| Aplicación que altera o toma el control del teléfono | 264 | Prisión de seis meses a tres años |
Los titulares de las cuentas donde aterriza el dinero responden también. Aunque aleguen que solo prestaron su cuenta a cambio de una comisión, los tribunales les condenan con frecuencia por blanqueo de capitales, incluso en la modalidad imprudente que el artículo 301 castiga con prisión de seis meses a dos años y multa.
Puede denunciar en A Coruña aunque la cuenta de destino esté en otra provincia o el servidor de la web falsa en otro país. En estas estafas los tribunales fijan la competencia, con carácter general, en el lugar donde la víctima tenía la cuenta y se produjo el perjuicio. El delito prescribe a los cinco años en su modalidad básica y al año si se trata del delito leve de menos de 400 euros, de modo que hay tiempo, pero la prueba digital y el rastro del dinero no esperan tanto.
Qué pasa si la causa penal se archiva
Es frecuente. Si la investigación no consigue identificar a los autores, porque las cuentas de destino estaban a nombre de mulas ilocalizables o el rastro se pierde en el extranjero, el juzgado dicta un sobreseimiento provisional. Eso no significa que el caso haya terminado para usted. El archivo deja intacta la reclamación frente a CaixaBank, que se funda en la normativa de servicios de pago y no en que se condene a nadie, y conserva la acción civil, que prescribe a los cinco años conforme al artículo 1964 del Código Civil. Lo que sí hay que vigilar es que la reclamación al banco se haya presentado a tiempo y en forma mientras la causa penal seguía su curso, porque esperar al resultado de la denuncia para empezar a reclamar es el error más caro de los que vemos.
Reclamar por su cuenta o con abogado
Si reclama por su cuenta, el riesgo concreto es que la primera reclamación salga con un escrito en el que usted mismo reconozca lo que el banco necesita para hablar de negligencia grave, y que esa versión le acompañe en todas las instancias posteriores sin posibilidad de corregirla. En el despacho ejercemos la defensa de los perjudicados por fraude bancario desde la primera comunicación a la entidad hasta la demanda si hace falta, y nos ocupamos también de la denuncia y de la personación en la causa penal. Puede llamarnos al +34 677 841 007 o escribirnos a través de la página de contacto. Tenga a mano, cuando lo haga, las capturas del SMS con el hilo completo, el extracto con los movimientos, la hora en que avisó a CaixaBank con el número de incidencia y, si ya la tiene, la respuesta escrita del banco.
Preguntas frecuentes
He pinchado el enlace pero no he escrito nada, ¿corro algún riesgo?
Si solo cargó la página y no introdujo datos ni instaló nada, el riesgo es bajo. Compruebe que el teléfono no ha descargado ningún archivo, cambie por precaución la clave de acceso desde la aplicación oficial y revise los movimientos durante las semanas siguientes. Mientras no haya un cargo, no hay nada que reclamar.
Di el código de confirmación que me llegó por SMS, ¿pierdo el derecho a que me devuelvan el dinero?
No automáticamente. CaixaBank sostendrá que al facilitar el código autorizó la operación o fue gravemente negligente, pero la negligencia grave exige un descuido muy acusado y tiene que probarla el banco. Que el código se diera engañado, en una llamada que seguía a un SMS colado en el hilo oficial de la entidad, es una circunstancia que juega a su favor. Cada caso depende de cómo ocurrió y de cómo se cuenta.
¿Tengo que denunciar en la policía para que CaixaBank me devuelva el dinero?
La ley no lo exige, pero en la práctica el banco pide copia de la denuncia y sin ella la reclamación se complica. Además, solo a través del juzgado se puede identificar a los titulares de las cuentas de destino y pedir que se bloqueen los fondos que queden. Denuncie con las pruebas guardadas y pida copia sellada.
¿Necesito abogado para reclamar a CaixaBank o puedo hacerlo yo?
Depende del importe y de la respuesta del banco. Si CaixaBank devuelve el dinero en los primeros días, algo que ocurre con cargos pequeños en tarjeta, no necesita a nadie. Si la cuantía es de unos cientos de euros y el banco se niega, valore si los honorarios compensan antes de seguir. A partir de unos miles de euros, o cuando el banco ya ha contestado por escrito alegando negligencia, una reclamación bien planteada desde el principio es lo que separa recuperar el dinero de no hacerlo, y ahí sí conviene un abogado.