La acción civil para exigir al banco la devolución de una operación de pago que usted no autorizó prescribe a los cinco años, por aplicación del artículo 1964.2 del Código Civil, y el plazo se cuenta desde el día en que pudo ejercitarse, que en estos casos es el del cargo en la cuenta o, si fue posterior, el momento en que tuvo conocimiento de él. Ese plazo es real, pero rara vez es el que importa. La normativa de servicios de pago impone al cliente el deber de comunicar la operación no autorizada a su entidad sin demora injustificada desde que la conoce, y esa comunicación, mucho más apremiante que la prescripción civil, decide la suerte de la mayoría de las reclamaciones. Quien avisa al banco esa misma tarde está en una posición distinta de quien lo hace pasadas unas semanas, aunque los cinco años del Código Civil corran igual para los dos.
En el plano penal, la estafa cometida por quien le llamó prescribe a los cinco años en su modalidad básica y a los diez en la agravada (artículo 131 del Código Penal), contados desde el día en que el dinero salió de su cuenta. Son plazos holgados. Lo que no espera es la prueba, que se degrada en horas, y el rastro del dinero, que se pierde en cuestión de días cuando el destino es la cuenta de un tercero que lo reenvía o lo retira en un cajero.
Cómo funciona el fraude telefónico
El vishing es la estafa por llamada. En la variante más extendida la llamada entra con el número auténtico del banco en pantalla, porque el número está falsificado con la técnica conocida como «spoofing», y quien habla se presenta como el departamento de fraude. Le comunica que han detectado cargos sospechosos, que hay que anularlos y que para ello necesita que confirme el código que le acaba de llegar por SMS. Ese código es precisamente la clave que autoriza la transferencia que están ejecutando en ese momento. Muchas veces la llamada viene precedida de un SMS que se cuela en el mismo hilo de los mensajes auténticos del banco, con un enlace a una web copiada de la entidad donde ya han recogido sus claves de acceso. En una segunda variante, peor para la víctima, el supuesto gestor le convence de que la cuenta está comprometida y de que debe traspasar el saldo a una «cuenta segura» que le dicta, o fraccionarlo en varios Bizum, con lo que es usted quien ordena las operaciones. En una tercera le piden instalar una aplicación de control remoto para «revisar el terminal», y desde ella manejan la banca móvil por usted.
Todas estas conductas son estafa. La del artículo 248 del Código Penal, en su forma clásica de engaño bastante que induce a un acto de disposición, cubre la variante de la cuenta segura. La modalidad informática del artículo 249.1.a), que castiga la transferencia no consentida de activos patrimoniales mediante manipulación informática o artificio semejante, cubre las operaciones que ejecuta el estafador con sus códigos, y la del artículo 249.1.b) las que se hacen con sus datos de tarjeta. La pena depende de la cuantía y de las circunstancias.
| Conducta | Artículo del Código Penal | Pena | Prescripción |
|---|---|---|---|
| Estafa de hasta 400 euros | 249.2 | Multa de uno a tres meses | Un año |
| Estafa básica o informática | 249.1 | Prisión de seis meses a tres años | Cinco años |
| Estafa agravada (más de 50.000 euros o elevado número de perjudicados, entre otros supuestos) | 250.1 | Prisión de uno a seis años y multa de seis a doce meses | Diez años |
| Estafa de más de 250.000 euros | 250.2 | Prisión de cuatro a ocho años y multa de doce a veinticuatro meses | Diez años |
| Blanqueo por quien presta su cuenta (mula) | 301.1 y 301.3 | Prisión de seis meses a seis años, o de seis meses a dos años si es por imprudencia grave | Diez años en la modalidad dolosa, cinco en la imprudente |
Estas penas son para el autor, que casi nunca se sienta en el banquillo porque opera desde fuera de España a través de cuentas de terceros. Para usted lo relevante es que la calificación penal de lo ocurrido no altera su derecho frente al banco, que se rige por otra norma y por otra lógica.
Operación no autorizada y operación autorizada bajo engaño
La reclamación contra el banco depende sobre todo de quién dio la orden de pago. Si el estafador, con los códigos que le sacó por teléfono, ordenó la transferencia o el pago con tarjeta, la operación es no autorizada, aunque se haya autenticado con sus claves y aunque el banco le diga lo contrario. La normativa de servicios de pago, que traspone al Derecho español la Directiva europea conocida como PSD2, obliga a la entidad a devolver el importe de las operaciones no autorizadas y solo le permite negarse cuando el cliente ha actuado de forma fraudulenta o con negligencia grave. Esa negligencia grave es la respuesta de plantilla de casi todos los bancos. La jurisprudencia no equipara sin más caer en un engaño elaborado con un descuido grave, y el Tribunal Supremo ha confirmado en 2025, en su doctrina sobre fraude bancario, que la sofisticación del fraude y la apariencia de legitimidad de la comunicación pesan en contra de esa tesis. Dónde está el límite en cada caso y con qué elementos se sostiene la posición del cliente es trabajo del abogado, y en eso consiste buena parte de lo que hacemos en el despacho en el ámbito de los delitos informáticos. Si el engaño entró por correo o por SMS en lugar de por teléfono, el análisis es el mismo que expuse a propósito del phishing.
Si fue usted quien pulsó el botón porque le convencieron de traspasar el dinero a una cuenta segura o de enviar varios Bizum, la operación es autorizada, aunque la autorización naciera de un engaño. La normativa de servicios de pago no obliga al banco a devolverla. La reclamación se desplaza entonces al terreno de la diligencia de la entidad ante una operativa manifiestamente anómala, con resultado más incierto y muy dependiente de las circunstancias, entre ellas si saltaron alertas, si el destino era una cuenta recién abierta o si el patrón de la operación rompía con el histórico del cliente. Son casos que se estudian uno a uno, y no todos tienen salida contra el banco.
La misma distinción sirve para los cargos de tarjeta que no reconoce, los cobros duplicados y los adeudos que el propio banco ejecuta por error. Si usted no ordenó el pago, se trata de una operación no autorizada. Si el error es del banco, responde además por incumplimiento del contrato de cuenta con arreglo a las reglas generales del Código Civil sobre obligaciones, con los intereses correspondientes. Qué está obligado a devolver el banco en cada tipo de ciberestafa lo desarrollé en otro artículo.
Las primeras horas
Cuelgue y llame usted al banco al número oficial, el que figura en el reverso de la tarjeta o en la aplicación, nunca al que le llamó ni al que aparece en el SMS. Bloquee tarjetas y claves y pida que intenten retener o retroceder la transferencia mientras el dinero siga en la cuenta de destino. A partir de ahí, la prioridad es no destruir prueba. Guarde el SMS tal como llegó, con el hilo completo en el que se insertó. Haga capturas del registro de llamadas con el número, la hora y la duración. No restablezca el móvil ni desinstale ninguna aplicación que le hicieran descargar sin haber documentado antes su existencia. Descargue los justificantes de las operaciones con el IBAN de destino, el importe y la hora exacta.
Denuncie en Policía Nacional o Guardia Civil dentro de las primeras veinticuatro o cuarenta y ocho horas, con esos justificantes. La denuncia sirve para la investigación y también acompaña a la reclamación al banco. No firme ni acepte en la aplicación ninguna declaración en la que reconozca haber autorizado la operación, ni una liquidación parcial ofrecida como favor, sin haberla consultado. Y desconfíe de quien le llame después ofreciéndose a recuperar el dinero a cambio de un anticipo, porque es una segunda estafa dirigida a las víctimas de la primera. Cómo se articula la reclamación al banco a partir de ahí, qué se alega y en qué orden, es la parte que dejo para el despacho.
Dónde se denuncia y qué ocurre cuando la causa se archiva
La Sala Segunda del Tribunal Supremo, al resolver las cuestiones de competencia en estafas informáticas, viene atribuyendo estos asuntos al juzgado del lugar donde la víctima tiene la cuenta de la que salió el dinero, no al del domicilio del estafador ni al de la cuenta de destino. Si su cuenta está en A Coruña, la instrucción corresponde a los juzgados de A Coruña, con independencia de desde dónde se hiciera la llamada.
Muchas de estas causas terminan en sobreseimiento provisional (artículo 641 de la Ley de Enjuiciamiento Criminal), porque los autores operan desde el extranjero con tarjetas SIM y cuentas de terceros. Ese archivo tiene tres consecuencias que le interesan. No es una absolución, y la causa se reabre si aparecen nuevos datos, algo frecuente cuando se identifica al titular de la cuenta receptora. No afecta a su reclamación contra el banco, que discurre por la normativa de servicios de pago y, si hace falta, por la vía civil, con juicio verbal hasta 15.000 euros desde el Real Decreto-ley 6/2023 y juicio ordinario por encima de esa cifra. Y si se identifica al titular de la cuenta de destino, ese titular responde civilmente del perjuicio (artículos 109 y siguientes del Código Penal) aunque solo haya prestado la cuenta.
Si su cuenta fue la de destino
El fraude telefónico necesita cuentas españolas que reciban el dinero y lo reenvíen o lo retiren. Las consigue con ofertas de empleo falsas, con comisiones por «gestionar cobros» o pidiéndole a alguien que preste su cuenta unos días. Quien lo hace se convierte en mula y responde por blanqueo de capitales del artículo 301 del Código Penal, con prisión de seis meses a seis años en la modalidad dolosa y de seis meses a dos años si se aprecia imprudencia grave (artículo 301.3), además de la responsabilidad civil frente a la víctima por todo lo que pasó por su cuenta. Si le han citado a declarar por algo así, no acuda sin abogado, y no dé explicaciones por teléfono a nadie que se presente como policía o como el propio banco.
Reclamar por su cuenta tiene un riesgo concreto. El banco responderá con la negligencia grave como argumento de plantilla, y si su reclamación encuadra mal los hechos, reconoce sin querer que la operación fue autorizada o llega tarde, ese error se arrastra después ante el supervisor y ante el juzgado. En el despacho ejercemos la defensa del perjudicado en la vía penal, con personación como acusación particular cuando procede, y planteamos la reclamación frente a la entidad y, si la rechaza, la demanda civil, dentro de nuestro trabajo en delitos informáticos y derecho civil. Puede llamar al +34 677 841 007 o escribir a través de la página de contacto. Tenga a mano el extracto con las operaciones, las capturas del SMS y del registro de llamadas, la denuncia si ya la ha presentado y cualquier respuesta escrita del banco, porque con eso se hace la primera valoración en la misma llamada.
Preguntas frecuentes
¿El banco tiene que devolverme el dinero si fui yo quien dio el código por teléfono?
Si el código lo usó el estafador para ordenar una operación que usted no quería hacer, la operación es no autorizada y la normativa de servicios de pago obliga al banco a devolverla, salvo que concurra negligencia grave por su parte. Facilitar un código a quien le llamó desde el número real del banco tras un SMS insertado en el hilo auténtico no se considera, sin más, negligencia grave. Cada caso tiene matices y en ellos se gana o se pierde la reclamación.
¿Qué cambia si hice yo mismo la transferencia o el Bizum porque me engañaron?
Cambia el fundamento. La operación es autorizada, aunque la autorización naciera de un engaño, y la normativa de servicios de pago no obliga al banco a devolverla. La reclamación pasa a discutir si la entidad actuó con la diligencia exigible ante una operativa anómala, y el resultado depende de las circunstancias concretas. Frente al estafador y frente al titular de la cuenta receptora, la reclamación civil derivada del delito sigue abierta.
¿Puedo reclamar intereses además del importe estafado?
Sí. Sobre el importe devuelto tarde se devengan intereses legales desde la fecha del cargo, y si el banco ha cobrado comisiones o intereses de descubierto a consecuencia de la operación no autorizada también debe restituirlos. Los daños adicionales, por ejemplo un pago que no pudo atender por quedarse sin saldo, son reclamables si se acreditan.
¿Necesito abogado para reclamar al banco o me compensa hacerlo yo?
Depende de la cuantía y de la respuesta del banco. Si son unos cientos de euros y el banco devuelve el dinero tras la comunicación, que es lo habitual en importes pequeños, no necesita a nadie. Si el banco ya le ha devuelto todo, o si el dinero fue a un vendedor real que no entregó el producto, tampoco es el banco a quien hay que reclamar. Merece la pena acudir al abogado cuando el banco rechaza la devolución alegando negligencia grave, cuando la cuantía es de varios miles de euros o cuando la operación la ordenó usted bajo engaño, porque en esos tres casos el encuadre de la reclamación y la prueba deciden el resultado y el error inicial es difícil de corregir después.