Para que el banco devuelva el dinero, la operación tiene que ser no autorizada, y en ese requisito se decide la mayoría de estos asuntos. La normativa de servicios de pago obliga a la entidad a reintegrar lo que salió de la cuenta sin el consentimiento del cliente. Si el estafador entró con las claves que usted tecleó en un enlace y ordenó él las transferencias, la operación no la autorizó usted. Si fue usted quien hizo el Bizum o la transferencia a una «cuenta segura» porque una voz que decía llamar de Kutxabank se lo indicó, la operación la ordenó usted, aunque engañado. Las dos conductas son estafa a efectos penales. Frente al banco no pesan igual, y buena parte de las reclamaciones que se desestiman fallan porque la víctima relata los hechos sin distinguir una cosa de la otra y, cuando quiere acreditarlo, ya ha borrado el mensaje y no recuerda el número desde el que le llamaron.
Kutxabank es aquí la entidad suplantada. Los mensajes y las llamadas no salen de ella, y lo que explico vale para cualquier banco español, porque el patrón es el mismo con un logotipo u otro.
Cómo llega la estafa
El mensaje avisa de que la cuenta ha sido bloqueada, de un cargo que usted no reconoce por un importe concreto con decimales, o de un inicio de sesión desde un dispositivo nuevo, y le pide «verificar su identidad» pulsando un enlace. El enlace está acortado o lleva a un dominio que se parece al oficial sin serlo. La web que se abre copia el diseño de la banca electrónica y pide usuario, clave y, a veces, el número de la tarjeta. En cuanto usted introduce los datos, el estafador los tiene.
La variante más eficaz combina el SMS con una llamada. Minutos después de que usted haya pulsado el enlace, o incluso sin haberlo hecho, llama alguien que dice ser del departamento de fraude de la entidad, conoce su nombre y parte de sus datos, y le explica que están intentando robarle y que para frenarlo necesita el código que le acaba de llegar al móvil. Ese código es la confirmación de una transferencia que el estafador ya ha preparado con sus claves. En otras versiones le piden que mueva el saldo a una cuenta «segura» que le dictan, o que instale una aplicación «de seguridad» que en realidad le da control del teléfono a un tercero.
| Modalidad | Cómo se presenta | Qué busca | Quién ordena la operación |
|---|---|---|---|
| SMS con enlace | Aviso de cuenta bloqueada, cargo no reconocido o nuevo dispositivo, con enlace acortado o a un dominio que no es el oficial | Que teclee usuario y clave en una web copiada | El estafador, con sus claves |
| Llamada del falso empleado | Alguien que dice ser del departamento de fraude y conoce sus datos le pide el código que acaba de recibir | El código que confirma una operación ya preparada | El estafador, con el código que usted dictó |
| SMS y llamada en dos fases | Primero el mensaje de alerta, poco después la llamada «para ayudarle» | Credibilidad y, con ella, claves o código | El estafador |
| Traslado a una «cuenta segura» | Le dicen que su cuenta está comprometida y que pase el saldo a otra que le indican | Que sea usted quien transfiera | Usted, engañado |
| Aplicación de control remoto | Le piden instalar un programa para «revisar» el móvil | Ver su pantalla y operar en su nombre | El estafador, desde su dispositivo |
La última columna es la que importa después. Cuando la operación la ordenó el estafador con claves o códigos obtenidos con engaño, estamos ante una operación no autorizada. Cuando la ordenó usted, estamos ante un fraude sobre una operación autorizada, y el camino para recuperar el dinero es otro.
Por qué parece real
El remitente del SMS se puede falsificar, así que el mensaje aparece en el móvil dentro del mismo hilo que los avisos auténticos que usted ha recibido del banco durante años. El número que se muestra en la llamada también se puede manipular para que coincida con uno que figura en la web de la entidad. Los datos personales que el interlocutor conoce, nombre, parte del DNI, últimos dígitos de una tarjeta, proceden de filtraciones anteriores y sirven para que usted no dude. El importe del supuesto cargo es concreto y la urgencia es deliberada, porque el objetivo es que actúe antes de pensar. Y cuando la llamada llega justo después de que usted haya introducido datos en la web falsa, el estafador sabe que ya está predispuesto a creerle.
Lo que ningún banco hace
Ninguna entidad española pide por teléfono, SMS o correo la clave completa de acceso. Ninguna pide el código de confirmación que le llega al móvil, porque ese código existe precisamente para que nadie más que usted lo conozca. Ninguna le indica que traslade su dinero a otra cuenta para protegerlo. Ninguna le pide que instale una aplicación de control remoto. Ninguna envía un enlace para «desbloquear» la cuenta o «verificar» su identidad. Si alguna vez tiene dudas sobre una comunicación, cuelgue y llame usted al teléfono que figura en el reverso de su tarjeta o dentro de la app oficial. Si la llamada era auténtica, no habrá perdido nada.
Qué hacer en las primeras horas
Lo primero es cortar la comunicación con quien le está llamando y no devolver la llamada a ese número. A continuación llame al teléfono que figura en el reverso de su tarjeta o dentro de la app oficial, comunique lo ocurrido y pida el bloqueo de las tarjetas y del acceso a la banca electrónica. Cuanto antes conste esa comunicación, mejor para usted.
Conserve todo. Haga capturas del SMS donde se vea el remitente, la fecha, la hora y el enlace, y no borre el mensaje. Anote el número desde el que le llamaron y la hora, y guarde el registro de llamadas. Si instaló alguna aplicación, desconecte el móvil de internet y no lo utilice para operar con el banco hasta que lo haya revisado alguien de confianza. Cambie las claves desde otro dispositivo.
Hay dos cosas que no debe hacer. No atienda a quien le llame en los días siguientes ofreciéndose a «recuperar» el dinero, porque es la segunda fase de la misma estafa. Y no firme ni acepte ningún documento en el que reconozca haber autorizado las operaciones o haber actuado con descuido sin que antes lo haya revisado un abogado, porque ese papel pesará después.
Si ya dio las claves o hizo un pago
Aquí vuelve la distinción del principio. Cuando las operaciones las ejecutó el estafador con las claves o el código que usted le facilitó bajo engaño, la normativa de servicios de pago impone al banco la devolución de las operaciones no autorizadas. La respuesta habitual de las entidades es que el cliente entregó sus credenciales y que eso constituye negligencia grave, con lo que se niegan a reintegrar. Que esa alegación prospere o no depende de las circunstancias concretas y de cómo se plantee la reclamación, que es trabajo del abogado. Lo he explicado con más detalle en qué está obligado a devolverle el banco tras una ciberestafa y en cuándo el banco tiene que devolver el dinero del phishing.
Cuando fue usted quien ordenó la transferencia o el Bizum a la cuenta que le dictaron, la operación es autorizada y el banco no tiene la misma obligación de devolución. Sigue habiendo camino, porque el dinero ha ido a una cuenta identificable y porque el comportamiento de las entidades ante señales de fraude también se puede examinar, pero es un camino más largo y requiere plantearlo bien desde el principio.
En el despacho, cuando alguien llega en este punto, revisamos cómo salió el dinero y qué prueba hay, y dirigimos la reclamación al banco y la denuncia de forma coordinada para que no se contradigan. Puede ver cómo trabajamos estos asuntos en delitos informáticos.
El delito de estafa, la denuncia y la prescripción
La conducta está en el artículo 248 del Código Penal, que tipifica la estafa e incluye la que se comete con manipulación informática o con las claves de otro. La pena es de prisión de seis meses a tres años. Si lo defraudado no excede de 400 euros, es una estafa leve y la pena es de multa. La estafa básica prescribe a los cinco años y la leve, al año, contados desde que se cometió.
La denuncia puede presentarse en cualquier comisaría de Policía Nacional o puesto de la Guardia Civil, y también en el juzgado de guardia. El estafador suele operar desde fuera de su ciudad y a veces desde fuera de España, pero eso no le obliga a moverse. La instrucción acaba por regla general en los juzgados del lugar donde se produjo el perjuicio, que suele coincidir con la plaza donde está su cuenta.
Conviene saber para qué sirve la denuncia, porque la mayoría de estas causas se archivan sin identificar al autor. La denuncia deja constancia formal de los hechos y de la fecha, permite al juzgado pedir a los bancos la identidad del titular de la cuenta que recibió el dinero y ordenar su bloqueo si aún queda saldo, y acredita frente a su propia entidad que usted fue víctima de un delito. El archivo de la causa penal por no dar con el autor no cierra la reclamación frente al banco, que sigue su propio cauce.
Si el dinero pasó por su cuenta
Estos fraudes necesitan cuentas donde recibir el dinero y desde donde reenviarlo. Quien acepta recibir una transferencia de un desconocido y pasarla a otra parte a cambio de una comisión, a menudo tras una supuesta oferta de trabajo, acaba identificado como titular de la cuenta receptora e imputado por blanqueo de capitales, que se castiga incluso cuando se cometió por imprudencia grave. Si ese es su caso, o si le han citado por ello, necesita defensa penal desde la primera declaración, y lo que diga sin abogado puede fijar la calificación de los hechos.
Quien reclama por su cuenta suele aceptar la primera negativa del banco como definitiva, relatar los hechos de una forma en la denuncia y de otra en la reclamación, y perder por el camino el mensaje y el número que probaban el engaño. En el despacho ejercemos la defensa de las víctimas de suplantación bancaria y la defensa penal de quienes han acabado señalados como cuenta receptora, y dirigimos la reclamación al banco y la denuncia de forma coordinada. Puede ver qué hacemos en delitos informáticos y derecho penal, y contactar en el +34 677 841 007 o a través de contacto. Cuando llame, tenga a mano los movimientos de la cuenta con fecha e importe de cada operación que no reconoce, las capturas del SMS y del número desde el que le llamaron, la denuncia si ya la presentó y la respuesta escrita del banco si ya la tiene.
Preguntas frecuentes
Di el código SMS por teléfono a alguien que decía llamar de Kutxabank y me han hecho transferencias, ¿me devuelve el banco el dinero?
La operación la ordenó el estafador con un código obtenido con engaño, así que se trata de una operación no autorizada y la normativa de servicios de pago obliga al banco a devolverla. La entidad casi siempre responde que usted entregó el código y que eso es negligencia grave. Que esa alegación prospere depende de las circunstancias concretas de la llamada y de cómo se plantee la reclamación, así que ni la devolución es automática ni la negativa del banco es la última palabra.
¿Tengo que denunciar en la Policía antes de reclamar al banco, y sirve de algo si no cogen al estafador?
Conviene denunciar cuanto antes y comunicarlo al banco el mismo día, sin esperar a que una cosa acabe para empezar la otra. La denuncia deja constancia formal de los hechos, permite al juzgado identificar y bloquear la cuenta que recibió el dinero y acredita frente a su banco que fue víctima de un delito. La mayoría de estas causas se archivan sin identificar al autor, y ese archivo no perjudica la reclamación frente al banco, que sigue su propio camino.
Recibí el SMS pero no pinché el enlace ni di datos, ¿tengo que hacer algo?
Si no introdujo datos ni instaló nada, no hay operación que reclamar. Puede comunicar el intento a su banco por el teléfono del reverso de la tarjeta o de la app oficial y avisar a INCIBE en la línea 017, que recoge estos avisos. Revise los movimientos de la cuenta durante los días siguientes y borre el mensaje solo cuando esté seguro de que no ha pasado nada.
¿Me compensa reclamar con abogado o puedo hacerlo yo?
Si el importe es de unos cientos de euros y el banco le devuelve el dinero en la primera comunicación, no necesita abogado. Lo necesita cuando el banco rechaza la reclamación alegando negligencia, cuando fue usted quien hizo la transferencia o el Bizum engañado, cuando la cantidad es relevante para su economía o cuando le han citado como titular de una cuenta que recibió dinero de una estafa. En esos casos, cómo se relatan los hechos y qué prueba se aporta desde el principio condiciona el resultado.