Cuando sale dinero de su cuenta sin que usted haya dado la orden, no le toca a usted demostrar que no la dio. La ley de servicios de pago pone esa carga en el banco, que tiene que probar que la operación se autenticó y se registró correctamente y, si quiere negarse a devolverla, que usted actuó con fraude o con un descuido grave. Que en sus registros aparezcan sus claves o el código que le llegó por SMS no basta por sí solo para darle la razón, y así lo dice la propia ley.
Las reclamaciones contra el banco las llevo yo, Luis Jurado Cano, abogado colegiado 6317 del Ilustre Colegio de Abogados de A Coruña, en Perseus & RC Abogados, y cuando hay que ir al juzgado civil las preparo con Ana Reza, socia directora del área civil. En las estafas que suplantan al banco el dinero suele recuperarse antes de la propia entidad que del estafador, y por eso la reclamación al banco es lo primero que preparo cuando alguien llega con un SMS, una llamada del falso departamento de seguridad, un Bizum, un duplicado de la SIM o un cargo en la tarjeta. Lo que vale para cualquier estafa está en la página general de estafas, y la investigación del ciberdelito en sí, en delitos informáticos.
Operación que usted no hizo u orden que dio engañado
Lo primero que miro es quién dio la orden. Si alguien entró en su banca online, usó los datos de su tarjeta, hizo un Bizum desde su aplicación o pidió un duplicado de su SIM para recibir sus códigos, usted no autorizó esa operación aunque el estafador usara sus claves. Es el caso más favorable. El banco debe devolverle el importe de inmediato y, como tarde, al final del día hábil siguiente a aquel en que usted se lo comunica, salvo que tenga motivos razonables para sospechar un fraude suyo y los ponga por escrito en conocimiento del Banco de España. Y si el banco no le pidió la autenticación reforzada, esa doble comprobación con un código o con la huella, solo puede cargarle la pérdida si usted actuó con fraude.
Hay un matiz que los bancos tienden a difuminar. Si usted no hizo la transferencia y lo que hizo fue dictar por teléfono el código que le llegó, la orden la dio el estafador, y eso sigue siendo una operación no autorizada. He descrito ese guion en la llamada del falso Abanca y en las estafas que suplantan a su banco por SMS o llamada.
Distinto es que usted mismo hiciera la transferencia porque el supuesto empleado le convenció de que su dinero corría peligro y debía pasarlo a una cuenta segura. Ahí la operación la autorizó usted y la reclamación al banco es más difícil, aunque no está cerrada. Hay que revisar si la entidad dejó pasar una operación que no encajaba en absoluto con su forma habitual de usar la cuenta, si el mensaje del estafador apareció en el mismo hilo de SMS que los avisos auténticos del banco y qué hizo la entidad cuando usted avisó. En paralelo, la denuncia permite identificar al titular de la cuenta que recibió el dinero, que puede ser condenado a devolverlo aunque no sea quien organizó el fraude. Muchas veces es alguien que prestó su cuenta a cambio de una comisión, y de ese perfil hablo en la página de cuentas mulero y blanqueo.
Cómo reclamamos al banco
Lo primero es comunicar al banco cada operación que no reconoce, por escrito y sin esperar. La ley exige hacerlo sin demora injustificada y fija un límite de trece meses desde el cargo, pero el retraso se lo reprocharán mucho antes de agotar ese límite. Lo que se opere con la tarjeta o las claves robadas después de su aviso lo soporta el banco, salvo que usted haya actuado con fraude.
Después va la reclamación formal al servicio de atención al cliente de la entidad, que tiene quince días hábiles para contestar a todo lo planteado y un mes como máximo en casos excepcionales. En esa misma reclamación pedimos los registros técnicos de cada operación, que el banco está obligado a conservar al menos seis años y a facilitar si usted se los pide. Los bancos suelen pedir la denuncia, y conviene presentarla antes, con la lista de operaciones, horas e importes, porque además es lo que permite al juzgado seguir el dinero.
Si la respuesta es negativa o no llega, queda el servicio de reclamaciones del Banco de España, que emite un informe no vinculante, o directamente la demanda. En el juicio civil la carga de la prueba juega de verdad, porque es la entidad la que tiene que aportar esos registros y explicar con ellos cómo se autenticó cada cargo. Más detalle en cuándo tiene que devolver el dinero el banco tras un phishing.
Lo que contesta el banco y qué hay detrás
La negativa suele llegar con la misma frase, que la operación se hizo con sus credenciales y que usted fue negligente. La ley dice expresamente que el registro del uso de sus claves no basta, necesariamente, para demostrar que usted autorizó la operación ni que actuó con negligencia grave. Y el descuido grave no es cualquier descuido. Caer en un SMS que llegó en el mismo hilo que los mensajes reales de su banco, o en una llamada que mostraba en pantalla el número de la entidad, no se parece a dejar el PIN anotado en la tarjeta. El Tribunal Supremo ya se ha pronunciado sobre la responsabilidad de los bancos en operaciones de este tipo, y los juzgados examinan también lo que hizo la entidad para detectarlas.
Por eso pido siempre el detalle técnico de cada cargo, desde qué dispositivo se hizo, si ese dispositivo se dio de alta esa misma tarde, si se cambió el teléfono asociado a la cuenta, qué alertas saltaron y cuánto tardó el banco en bloquear cuando usted llamó. Leer esos registros es trabajo de investigación digital, la materia sobre la que he sido ponente en CyberCamp 2015 del INCIBE y en SECAdmin 2018. Cuando la estafa empezó con un duplicado de la SIM, además del banco hay que mirar qué comprobaciones hizo la compañía telefónica antes de entregar el duplicado a otra persona.
Las pruebas que no debe borrar
No borre el SMS ni la conversación, aunque le dé apuro, porque que el mensaje falso aparezca junto a los auténticos del banco es una de las mejores pruebas que tendrá. Haga capturas del registro de llamadas con la hora y el número que vio en pantalla. Descargue el extracto con las operaciones que no reconoce y guarde las notificaciones de la aplicación, los correos del banco y cada respuesta que le den, con su fecha. Si le enviaron un enlace, cópielo sin volver a abrirlo. Apunte ahora, mientras lo recuerda, qué le dijeron, qué hizo usted y a qué hora, porque ese relato es lo que después se contrasta con los registros del banco.
Dónde estamos
Rúa Torreiro 13, 3.º C, 15001 A Coruña. Teléfono +34 677 841 007. Si vive fuera, lo vemos por videollamada con el extracto y los mensajes a la vista.
Lecturas relacionadas
- ¿Tiene el banco que devolverme el dinero tras un phishing?
- Ciberestafa, cómo recuperar el dinero y qué está obligado a devolverle el banco
- Estafas que suplantan a su banco por SMS o llamada
- Le llaman «de Abanca» y le piden mover el dinero o dar un código
- SMS o llamada de CaixaBank que dice que su cuenta está bloqueada
- SMS o llamada de BBVA que dice que su cuenta está bloqueada
Preguntas frecuentes
Le di al falso empleado del banco el código del SMS, ¿me tienen que devolver el dinero?
Puede que sí. Si fue el estafador quien hizo la operación con el código que usted le dictó, la orden no la dio usted y se trata como una operación no autorizada. El banco solo puede negarse si demuestra que usted actuó con un descuido grave, y dar un código a quien se presentaba como su propio banco, en una llamada preparada para parecer auténtica, no lo es sin más. Hay que ver el texto del SMS y cómo transcurrió la llamada.
Hice un Bizum a un estafador, ¿puedo recuperarlo?
Un Bizum que usted envió no se puede anular, porque se abona en segundos. El número de teléfono que lo recibió está ligado a una cuenta con titular, y con una denuncia el juzgado puede identificarlo y pedir que devuelva el dinero. Si el Bizum lo hizo otra persona desde su aplicación sin su orden, la reclamación va contra su banco como cualquier operación no autorizada.
Me duplicaron la tarjeta SIM y me vaciaron la cuenta, ¿a quién reclamo?
Al banco en primer lugar, porque las operaciones las hizo otra persona con los códigos que llegaban a su número. También hay que revisar cómo entregó la compañía telefónica el duplicado y qué comprobó antes de hacerlo, porque su actuación puede generar responsabilidad. Apunte la hora exacta en que su móvil se quedó sin línea.
El banco dice que fue negligencia mía y no me devuelve nada, ¿ya está?
No. Esa negativa inicial es habitual y deja abiertas otras vías. Es el banco quien tiene que probar la negligencia grave, y la ley dice que el simple registro de sus claves no basta para ello. Después de la negativa se puede acudir al Banco de España o demandar, y en el juicio la entidad tendrá que enseñar cómo se autenticó cada operación.
¿Tengo que poner denuncia para reclamar al banco?
La ley no la exige para pedir la devolución de una operación no autorizada, pero los bancos suelen pedirla y conviene tenerla. Además, solo con una denuncia puede el juzgado averiguar quién es el titular de la cuenta que recibió el dinero. Denuncie con la lista de operaciones, horas e importes, y guarde la copia.
¿Cuánto tiene el banco para devolverme una operación que no hice?
La ley le obliga a devolverla de inmediato y, como tarde, al final del día hábil siguiente a su aviso. Solo puede retenerla si tiene motivos razonables para sospechar un fraude por su parte y se los comunica por escrito al Banco de España. Si no se cumple, reclame por escrito cuanto antes y guarde la prueba de cuándo avisó.