La acción civil para exigir al Santander el dinero que salió de su cuenta sin su autorización prescribe a los cinco años, por aplicación del artículo 1964 del Código Civil, y ese plazo se cuenta desde el día en que pudo reclamar, que en la práctica es el día en que vio los cargos. El delito de estafa informática que han cometido contra usted prescribe a los cinco años desde que se cometió si la pena máxima no pasa de tres años de prisión, y a los diez si la cuantía convierte el hecho en estafa agravada. Con esos márgenes, nadie pierde el derecho por llegar tarde al juzgado. El problema está en otro sitio. La normativa de servicios de pago fija un plazo propio, bastante más corto, para comunicar al banco que la operación no fue suya, y de cumplirlo depende que la devolución se pueda exigir como obligación legal o haya que pelearla como daño. Cuál es ese plazo en su caso y cómo se acredita que lo cumplió es lo primero que revisamos en el despacho cuando alguien llega con este problema.
Si lo que busca es saber si el mensaje que tiene en el móvil es o no del banco, eso lo expliqué en SMS o llamada del Santander, cómo saber si es una estafa. Este artículo empieza después, con el dinero ya fuera.
Lo que le ha pasado tiene nombre en el Código Penal
El enlace del SMS le llevó a una página que imitaba la del Santander. Introdujo su usuario y su clave, probablemente también una clave de firma o un código que le llegó al móvil, y con esos datos alguien ordenó transferencias, Bizum o pagos con tarjeta desde su cuenta. Eso es una estafa informática, prevista en el artículo 248.2.a) del Código Penal, que castiga a quien, con ánimo de lucro y valiéndose de una manipulación informática o artificio semejante, consigue una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro. El engaño previo a usted no cambia la calificación, la refuerza.
La pena la fija el artículo 249. Si lo defraudado supera los 400 euros, prisión de seis meses a tres años. Si no llega a esa cifra, es delito leve y se castiga con multa. Cuando el perjuicio pasa de 50.000 euros entra el artículo 250 y la pena sube a entre uno y seis años de prisión más multa, y si pasa de 250.000, a entre cuatro y ocho años. Si para hacerlo instalaron algo en su teléfono o alteraron datos del dispositivo, puede añadirse el delito de daños informáticos del artículo 264, y si accedieron a su banca electrónica con las claves obtenidas, el acceso ilícito a sistemas del que hablé en han entrado en su correo o sus cuentas sin permiso.
| Supuesto | Precepto | Pena | Prescripción del delito |
|---|---|---|---|
| Estafa informática de hasta 400 euros | Arts. 248.2.a) y 249 CP | Multa de uno a tres meses | Un año |
| Estafa informática de más de 400 euros | Arts. 248.2.a) y 249 CP | Prisión de seis meses a tres años | Cinco años |
| Estafa de más de 50.000 euros | Art. 250.1.5º CP | Prisión de uno a seis años y multa | Diez años |
| Estafa de más de 250.000 euros | Art. 250.2 CP | Prisión de cuatro a ocho años y multa | Diez años |
| Recibir y reenviar el dinero sin saber de dónde venía | Art. 301.3 CP (blanqueo imprudente) | Prisión de seis meses a dos años y multa | Cinco años |
La última fila no es para usted como víctima, sino para la persona cuya cuenta recibió su dinero. La explico más abajo porque a veces esa persona es un conocido, y a veces es el propio perjudicado, al que la misma banda usa en una segunda fase.
Las primeras horas deciden más que el pleito
El dinero que sale por transferencia inmediata o Bizum tarda segundos en llegar y minutos en volver a salir hacia otra cuenta. Lo que haga en las dos o tres horas siguientes a darse cuenta pesa más que cualquier argumento jurídico posterior.
Llame al Santander por el teléfono que figura en el reverso de su tarjeta o en la web oficial, nunca por el que venga en el SMS, y pida que bloqueen tarjetas, banca electrónica y cualquier operación pendiente. El banco puede intentar el retroceso de las transferencias que todavía no se hayan consumado en la entidad de destino, y eso solo funciona si se pide enseguida. Anote la hora de la llamada y el nombre o número de operador que le atienda.
No borre nada. Ni el SMS, ni el historial del navegador, ni los mensajes posteriores que le hayan enviado o las llamadas que haya recibido. Haga una captura del hilo completo de mensajes, con la fecha y la hora visibles, porque si el SMS falso aparece en el mismo hilo que los mensajes auténticos del Santander, ese dato tiene relevancia en la reclamación y desaparece en cuanto cambie de móvil o restaure el aparato. El Santander mantiene una dirección para remitir correos sospechosos, «phishing@gruposantander.es», y conviene usarla, pero eso no sustituye la comunicación formal al banco de que la operación no es suya.
No cambie las contraseñas desde el mismo teléfono en el que pinchó el enlace hasta que esté seguro de que no tiene nada instalado. Si el enlace le pidió descargar una aplicación o le apareció una pantalla que no reconoce, el teléfono es prueba y es riesgo a la vez. Guárdelo apagado o en modo avión y use otro dispositivo para lo demás.
Presente denuncia en la Policía Nacional o la Guardia Civil con los extractos donde consten los cargos. Se puede denunciar en la comisaría de su localidad aunque el dinero haya acabado en una cuenta de otra provincia o de otro país. Y pida copia sellada, porque la va a necesitar frente al banco.
En el despacho, cuando alguien nos llama ese mismo día, lo primero que hacemos es fijar por escrito la comunicación al banco y asegurar la prueba del teléfono y de los extractos antes de que se pierda. Es parte del trabajo que ejercemos en el área de delitos informáticos y fraude bancario.
El banco está obligado a devolver, con una excepción que él mismo intentará aplicar
La normativa de servicios de pago impone al banco la devolución del importe de las operaciones que el cliente no autorizó. Esa es la regla. La excepción es que el banco demuestre que el cliente actuó con negligencia grave o de forma fraudulenta, y en el caso de los SMS falsos el Santander invoca esa excepción con una fórmula que se repite en casi todas las respuestas que hemos visto. Dice que la operación se autenticó correctamente con las claves personales del cliente y con el código enviado a su móvil, y que facilitar esas claves a un tercero es negligencia grave.
Que el banco lo diga no significa que sea así. La negligencia grave es un concepto que han perfilado el Banco de España en sus criterios sobre reclamaciones por phishing y smishing, las Audiencias Provinciales en pleitos contra esta y otras entidades, y el Tribunal Supremo, que en 2025 ha caracterizado la responsabilidad del banco en operaciones no autorizadas como una responsabilidad cuasi objetiva. Pesa en qué momento se dio la clave, qué decía la pantalla cuando se dio, si el mensaje falso venía en el hilo auténtico del banco, si la operación encajaba con el perfil habitual del cliente y si el banco tenía medios para detectar el patrón y no los activó. También hay casos en los que los tribunales han dado la razón a la entidad, normalmente cuando el cliente facilitó varios códigos sucesivos por teléfono a pesar de que el propio mensaje del banco advertía de que no debía compartirlos, o cuando firmó operaciones cuyo detalle tenía delante.
Cómo se presenta esa reclamación, qué se dice y qué no, y en qué vía se plantea es trabajo del abogado, y es donde se gana o se pierde. En ciberestafa, cómo recuperar el dinero expliqué el marco general sin referirme a ninguna entidad.
La denuncia, el juzgado y lo que pasa cuando la causa se archiva
Denunciar no es requisito legal para reclamar al banco, pero en la práctica el Santander la pide y los tribunales valoran su ausencia. Además, la denuncia abre la única vía que permite identificar al titular de la cuenta de destino y rastrear el dinero, porque eso solo lo puede ordenar un juez.
La competencia territorial en estas estafas se resuelve con la llamada teoría de la ubicuidad. El delito se entiende cometido tanto donde se produce el engaño como donde se materializa el perjuicio, y eso permite que instruya el juzgado del lugar donde usted tiene la cuenta, en nuestro caso A Coruña, aunque el autor esté en Madrid o fuera de España. Tiene sentido insistir en ello, porque la instrucción cerca del perjudicado facilita personarse y seguir el procedimiento.
Lo habitual, con todo, es que la causa acabe en sobreseimiento provisional por no haberse identificado al autor. Las cuentas de destino son de personas interpuestas o están en entidades extranjeras que no contestan, y el juzgado archiva. Ese archivo no afecta a su derecho frente al Santander. La obligación de devolver nace de la normativa de servicios de pago y del contrato de cuenta, no de la condena del estafador, y se puede exigir con la causa archivada. Si la causa sigue y se identifica al titular de la cuenta receptora, además de la pena puede pedirse en el mismo proceso la responsabilidad civil y, en algunos supuestos, la del banco como responsable civil. Qué vía conviene en cada caso depende de la cuantía, de lo que haya respondido el banco y de lo que diga el teléfono.
Si el dinero acabó en la cuenta de un conocido, o en la suya
Las bandas que operan con SMS falsos necesitan cuentas en España para recibir el dinero y sacarlo. Las consiguen con anuncios de trabajo fácil, con ofertas de «gestionar cobros» a cambio de una comisión, o pidiéndole a la propia víctima, en una segunda llamada, que «mueva el dinero a una cuenta segura». Quien recibe esas transferencias y las reenvía o las retira en efectivo responde por blanqueo de capitales. Si sabía lo que hacía, por blanqueo doloso, con penas de seis meses a seis años de prisión conforme al artículo 301.1. Si no lo sabía pero debió sospecharlo, por blanqueo imprudente del artículo 301.3, con prisión de seis meses a dos años y multa.
Esto importa por dos razones. Si usted reconoce al titular de la cuenta receptora, puede ser un particular engañado contra el que, sin embargo, se puede dirigir la acción para recuperar el dinero. Y si usted mismo, después del primer vaciado, siguió las instrucciones de quien le llamó diciendo ser del Santander y movió fondos, está en los dos lados del expediente a la vez. En ese caso la defensa penal hay que ejercerla desde el primer día, no cuando llegue la citación.
Qué se juega si lo hace por su cuenta
El riesgo concreto de reclamar sin abogado en un fraude de este tipo es aceptar el relato del banco. El cliente que recibe la carta del Santander diciendo que él facilitó las claves suele dar por perdido el dinero, o contesta por su cuenta reconociendo hechos que luego se usan para calificar su conducta como negligencia grave. Lo segundo es peor que lo primero, porque convierte una reclamación viable en una perdida.
En el despacho, en un caso así, aseguramos la prueba del teléfono y de la comunicación al banco, planteamos la reclamación en la vía que corresponde a la cuantía y a la respuesta recibida, y ejercemos la acusación en la causa penal si la identificación del autor o del receptor del dinero lo hace útil. Puede llamarnos al +34 677 841 007 o escribir desde la página de contacto, y encontrará lo que hacemos en esta materia en delitos informáticos y fraude bancario.
Cuando llame, tenga a mano el extracto con los cargos y sus fechas, la captura del hilo de SMS, la hora de la llamada al banco y lo que le dijeron, la copia sellada de la denuncia si ya la presentó y, si el Santander le ha contestado algo por escrito, esa respuesta íntegra. Con eso se puede dar una primera opinión en la misma llamada.
Preguntas frecuentes
He pinchado el enlace de un SMS falso del Santander y me han vaciado la cuenta, ¿me tiene que devolver el dinero el banco?
Como regla, sí. La normativa de servicios de pago obliga al banco a devolver las operaciones que el cliente no autorizó, y pinchar un enlace no es autorizar una transferencia. El banco solo se libra si demuestra que usted actuó con negligencia grave, y eso depende de las circunstancias concretas, no de que las claves se hubieran introducido.
¿Tengo que denunciar en la Policía antes de reclamar al Santander?
No es requisito legal, pero conviene hacerlo el mismo día. El banco la pide, los tribunales valoran que exista y es la única vía para que un juez identifique la cuenta de destino y ordene medidas sobre el dinero. Puede denunciar en la comisaría de su localidad aunque el dinero haya salido hacia otra provincia o país.
El Santander me ha contestado que yo di el código y que no me devuelve nada, ¿qué hago?
No conteste reconociendo hechos ni dé el asunto por perdido. Esa respuesta es la habitual del banco y no cierra la reclamación. Guarde la carta íntegra, no borre el teléfono y consulte con un abogado antes de escribir nada, porque lo que diga en esa contestación se usará después.
¿Me compensa reclamar con abogado o es mejor dejarlo?
Depende de la cuantía y de lo que haya pasado. Por debajo de unos cientos de euros, o si el banco ya ha devuelto la mayor parte, el coste del abogado puede superar lo que se recupere, y en ese caso se lo diré. Por encima de esa cifra, y en especial si el banco alega negligencia grave o si usted movió fondos después del primer cargo, reclamar con abogado es la diferencia entre recuperar el dinero y asumir la pérdida.