Dos clientes de Bankinter reciben el mismo mensaje y los dos acaban con la cuenta vacía, pero solo uno de ellos tiene una reclamación sencilla contra el banco. El primero pulsa el enlace, teclea sus claves en una web que imita la de la entidad y, cuando le llega el código de confirmación, lo introduce también. La transferencia la ordena el estafador con esas credenciales. El segundo recibe una llamada de alguien que dice ser del departamento de seguridad, le explica que su cuenta está comprometida y le convence para que sea él mismo quien mueva el dinero a una «cuenta segura». Para el Código Penal los dos han sido víctimas de una estafa del artículo 248, con la misma pena para el autor. Para la normativa de servicios de pago no están en el mismo sitio. En el primer caso la operación no la ha autorizado el cliente y el banco tiene la obligación legal de devolverla. En el segundo el banco sostendrá que la orden la dio el propio titular, con su firma y desde su dispositivo, y la reclamación se vuelve mucho más disputada. Lo que inclina la balanza es quién ejecutó la orden de pago y qué hizo la entidad cuando la vio pasar. Ese detalle, que el cliente suele considerar secundario, decide buena parte del resultado.
Cómo reconocer el mensaje que suplanta a Bankinter
Los mensajes que circulan siguen un patrón con pocas variaciones. Le avisan de un inicio de sesión desde un dispositivo que no reconoce, de un cargo por un importe concreto que usted no ha hecho, de una transferencia pendiente de confirmar o de que la cuenta ha quedado bloqueada por motivos de seguridad. En todos los casos ofrecen una salida rápida. Un enlace, casi siempre acortado o con un dominio que no es bankinter.com, o un número de teléfono al que debe llamar de inmediato para «verificar su identidad». Bankinter no ha enviado nada. Es la entidad suplantada, y eso determina contra quién se denuncia y a quién se reclama.
Los tres nombres que verá en las noticias designan la misma estafa por canales distintos. Phishing es el correo electrónico con enlace a una web falsa. Smishing es lo mismo por SMS. Vishing es la llamada telefónica en la que alguien se hace pasar por el banco. Lo habitual ahora es que se combinen. Llega el SMS, usted no pulsa, y a los pocos minutos entra la llamada de un supuesto empleado que ya conoce su nombre y le habla del mensaje que acaba de recibir. La coordinación entre ambos es lo que da verosimilitud al conjunto.
Por qué parece real
El remitente de un SMS se puede falsificar. Los estafadores configuran el envío para que el mensaje aparezca con el nombre de la entidad, y el teléfono lo agrupa en el mismo hilo en el que usted tiene los avisos legítimos del banco. Que el mensaje falso esté entre dos mensajes verdaderos no dice nada sobre su autenticidad. Con las llamadas ocurre algo parecido, porque el número que aparece en pantalla también se puede suplantar. La persona que llama usa el vocabulario de la entidad, sabe su nombre y a veces los últimos dígitos de su tarjeta, obtenidos de filtraciones anteriores o de la propia web falsa en la que usted acaba de teclear. A todo esto se suma la urgencia. Le dicen que el dinero saldrá en minutos si no actúa, y bajo esa presión la mayoría de la gente hace lo que le piden. El método está diseñado para funcionar con personas normales en una situación anormal.
Lo que ningún banco hace nunca
Esta regla es común a toda la banca española y sirve para decidir en el momento. Ninguna entidad le pide por teléfono, por SMS o por correo la clave completa de acceso, ni el código de un solo uso que le acaba de llegar, ni los datos completos de la tarjeta con su fecha de caducidad y el código de seguridad. Ninguna le pide que mueva su dinero a una «cuenta segura» para protegerlo, porque esa cuenta no existe en ningún banco. Ninguna le pide que instale una aplicación de control remoto en el móvil o en el ordenador para que un técnico «revise» su dispositivo. Cualquiera de esas peticiones, por sí sola, identifica la llamada como una estafa. Con eso basta para cortar y no hay que discutir con quien está al otro lado.
Qué hacer en el momento de recibirlo
No pulse el enlace ni llame al número que figura en el mensaje, y tampoco devuelva la llamada perdida. Si tiene dudas de si la cuenta tiene realmente un problema, llame al teléfono que figura en el reverso de su tarjeta o entre en la app oficial del banco, que es donde aparecerán los avisos verdaderos. Guarde el SMS sin borrarlo, con el número o nombre del remitente y la hora, y haga una captura de pantalla. Aunque no haya caído, ese mensaje le servirá si días después recibe una llamada que enlaza con él.
Si ya dio las claves o hizo un pago
Las primeras horas deciden cuánto dinero se recupera y con qué facilidad. Llame al banco por el canal oficial, comunique lo ocurrido, pida el bloqueo de las tarjetas y del acceso a la banca digital y cambie todas las claves desde un dispositivo distinto al que usó para pulsar el enlace. Si instaló una aplicación a petición del que llamó, desinstálela antes de tocar nada más y considere ese teléfono comprometido hasta que lo revise alguien. Compruebe los movimientos de todas sus cuentas, no solo de la que le mencionaron, incluidas las tarjetas de crédito y los préstamos preconcedidos, porque es frecuente que el estafador contrate un crédito rápido y lo transfiera en la misma sesión. Anote cada operación que no reconozca con su importe, hora y destinatario.
Después conserve todo. El SMS, las capturas de la web falsa si las tiene, el registro de llamadas con el número y la duración, los correos que haya recibido después y los mensajes de confirmación que le envió el banco. No borre nada del teléfono aunque le dé vergüenza. Esa prueba es la que permite reconstruir la secuencia y demostrar que usted no ordenó el pago.
La normativa de servicios de pago obliga al banco a devolver el importe de las operaciones que el cliente no ha autorizado. La entidad puede negarse si entiende que el cliente actuó con negligencia grave, y esa es la contestación habitual en estos casos, con el argumento de que fue usted quien introdujo las claves o hizo la transferencia. Que ese argumento prospere depende de cómo ocurrieron los hechos y de cómo se plantea la reclamación, y eso es trabajo del abogado. En el despacho lo hacemos dentro del área de delitos informáticos, y he explicado con más detalle qué está obligado a devolver el banco en este artículo sobre ciberestafas.
La vía penal y qué aporta la denuncia
Quien le ha vaciado la cuenta ha cometido un delito de estafa del artículo 248 del Código Penal, castigado con prisión de seis meses a tres años, o con multa cuando lo defraudado no supera los 400 euros. El engaño mediante una web falsa o una llamada suplantando al banco encaja en la estafa sin dificultad. La calificación no cambia según la modalidad, pero sí cambia su posición frente al banco, como muestra la tabla.
| Situación | Quién ejecuta la operación | Calificación penal | Frente al banco |
|---|---|---|---|
| Pulsa el enlace y teclea claves y código en la web falsa | El estafador, con sus credenciales | Estafa, artículo 248 CP | Operación no autorizada, obligación de devolución |
| Le llaman y usted mismo transfiere a una «cuenta segura» | Usted, engañado | Estafa, artículo 248 CP | El banco sostendrá que la autorizó y la reclamación se disputa |
| Instala una app de control remoto y el estafador opera desde su móvil | El estafador, desde su dispositivo | Estafa, artículo 248 CP | Disputada, el banco alegará negligencia grave |
| Importe defraudado que no supera los 400 euros | Cualquiera de los anteriores | Estafa castigada con multa | Misma obligación de devolución si no la autorizó |
La denuncia se presenta en cualquier comisaría de Policía Nacional o puesto de la Guardia Civil, y lo razonable es hacerlo en la localidad donde usted vive, que es donde se ha producido el perjuicio. Lleve la documentación que acabo de describir. La denuncia no le devuelve el dinero por sí sola, pero hace cosas que usted no puede hacer por su cuenta. El banco la va a pedir para tramitar su reclamación. El juzgado puede requerir a la entidad receptora los datos del titular de la cuenta de destino y ordenar la retención del saldo si todavía queda algo. Y fija la fecha y los hechos en un documento oficial, lo que pesa cuando meses después el banco discuta su versión.
Lo habitual es que la instrucción termine archivada porque el autor opera desde fuera de España o porque el rastro del dinero se pierde en cuentas de terceros. Ese archivo no afecta a su derecho frente al banco. La reclamación por la operación no autorizada no depende de que se condene a nadie, y en este otro artículo cuento cómo se enlazan ambas vías.
El riesgo de acabar como mula
Una parte del dinero que sale de estas estafas pasa por cuentas de particulares que las han cedido a cambio de una comisión o que han aceptado «un trabajo» consistente en recibir transferencias y reenviarlas. Quien hace eso, aunque no haya participado en el engaño, es el primer eslabón identificable de la cadena y se expone a ser investigado por la denuncia del perjudicado. Si alguien le ha pedido su cuenta para recibir un ingreso ajeno, no lo haga, y si ya lo ha hecho, hable con un abogado antes de que le cite la policía.
Qué hacemos en el despacho
Quien reclama por su cuenta suele cometer dos errores que cuestan dinero. El primero es aceptar como definitiva la carta del banco que atribuye la operación a su negligencia, cuando esa carta es solo el principio de la discusión. El segundo es contar los hechos de una forma que refuerza la versión de la entidad, porque el cliente, con la mejor intención, describe lo que hizo sin reparar en lo que el banco debió hacer y no hizo. En un caso así, en el despacho revisamos la secuencia completa de la estafa y de las operaciones, presentamos la denuncia con la prueba ordenada y ejercemos la reclamación frente a la entidad hasta donde haga falta, dentro del área de delitos informáticos. Puede llamar al +34 677 841 007 o escribir desde la página de contacto. Cuando llame, tenga a mano la captura del SMS con remitente y hora, el registro de llamadas, la lista de operaciones no reconocidas con importe y fecha, la respuesta del banco si ya la tiene y la denuncia si ya la ha presentado.
Preguntas frecuentes
¿Bankinter me devuelve el dinero si fui yo quien metió las claves en la web falsa?
Que usted tecleara las claves no significa que autorizara la transferencia. La orden de pago la dio el estafador con unas credenciales obtenidas mediante engaño, y para la normativa de servicios de pago esa operación no está autorizada y el banco debe devolverla. La entidad intentará atribuirle negligencia grave por haber introducido los datos, y ahí es donde se discute el caso con los hechos concretos y con la prueba que usted haya conservado.
¿Tengo que denunciar en la policía antes de reclamar al banco?
La denuncia y la reclamación al banco son independientes, pero conviene denunciar cuanto antes. El banco suele pedir la denuncia para tramitar la devolución, el juzgado puede identificar la cuenta de destino y retener el saldo, y la denuncia deja constancia oficial de la fecha y de los hechos. Que la causa penal se archive después no afecta a su reclamación frente al banco.
¿Qué pasa si el SMS falso me llegó en el mismo hilo que los mensajes oficiales o la llamada venía del número real del banco?
Eso ocurre porque el remitente de un SMS y el número de una llamada se pueden suplantar, y no significa que el banco haya participado ni que el mensaje sea auténtico. A efectos de su reclamación es un dato favorable, porque explica por qué el engaño resultaba creíble y dificulta que la entidad le atribuya una negligencia grave. Guarde el hilo completo sin borrar nada.
¿Me compensa reclamar por 3.000 euros o necesito abogado?
Depende de la modalidad. Si tecleó las claves en una web falsa y la transferencia la hizo el estafador, la reclamación tiene buena base y por 3.000 euros compensa hacerla con abogado, porque la entidad va a contestar con un escrito jurídico y usted necesita responder en los mismos términos. Si fue usted quien hizo la transferencia a la cuenta segura, el asunto es más disputado y hay que valorar antes la prueba. Por importes de unos cientos de euros lo razonable es agotar la reclamación ante el propio banco y no ir a juicio, salvo que haya varias operaciones o un préstamo contratado en su nombre.