Recibiste un SMS que parecía del banco. O te llamaron con un número que se veía legítimo, alguien que sabía tu nombre y hablaba de «una operación sospechosa que había que verificar». Diste un código, confirmaste una operación, o simplemente contestaste una pregunta que parecía rutinaria. Minutos después, el dinero ya no estaba.
Esta situación se repite cada vez más en Alicante. Y aunque la sensación inicial suele ser de vergüenza, la mayoría de las personas que la viven no cometieron ningún error evidente. Cayeron en un montaje diseñado específicamente para que pareciera real.
En Bagavi llevamos casos de este tipo y sabemos que la primera pregunta que se hacen nuestros clientes es siempre la misma: ¿tengo alguna opción de recuperar el dinero, o ya está perdido? La respuesta depende de cómo ocurrió el fraude, y ese es precisamente el punto donde conviene que un abogado revise el caso antes de asumir que no hay nada que hacer.
El patrón que estamos viendo en casos recientes
Los casos más habituales que llegan al despacho no son de phishing genérico por correo electrónico. Son casos de vishing y smishing, dos variantes más sofisticadas y más difíciles de detectar incluso para alguien prudente.
El vishing consiste en una llamada telefónica donde el estafador se hace pasar por un empleado del banco. Conoce datos básicos del cliente, a veces el nombre completo, a veces los últimos movimientos de la cuenta, y utiliza esa información para generar confianza inmediata. La llamada suele presentarse como una alerta de seguridad: «hemos detectado un cargo sospechoso», «necesitamos verificar su identidad para bloquear una operación fraudulenta». La ironía es que el propio guion de la estafa imita al que usaría el banco real para protegerte.
El smishing sigue la misma lógica pero por SMS. El mensaje llega desde el mismo hilo de conversación que usa el banco habitualmente, con el nombre del banco como remitente, porque los estafadores consiguen suplantar ese remitente técnico. El mensaje incluye un enlace o un número de teléfono, y todo el diseño está pensado para que no se distinga del canal legítimo.
Por qué estos ataques son tan efectivos
No es casualidad que estos casos se multipliquen. Los estafadores han pasado de intentar engañar con webs falsas mal hechas a suplantar directamente los canales que el banco ya usa contigo. Cuando el mensaje llega en la misma conversación de SMS donde antes recibiste alertas reales, la desconfianza natural baja. Cuando la llamada entra con apariencia de número corporativo y quien habla conoce datos concretos de tu cuenta, cualquier persona puede confirmar una operación pensando que está evitando un fraude, no cometiéndolo.
Esto es relevante a nivel legal, porque cambia por completo cómo se valora la conducta del cliente. No es lo mismo dar tus credenciales en una web falsa después de hacer clic en un banner sospechoso que confirmar una operación telefónica creyendo, con motivos razonables, que hablas con tu banco.
Las dos formas en las que se consigue el dinero
En los casos con más viabilidad legal, el resultado del engaño es alguno de estos dos:
Una transferencia realizada directamente por la víctima, guiada paso a paso por el estafador durante la llamada, bajo la excusa de «mover el dinero a una cuenta segura» mientras se resuelve la supuesta incidencia.
O bien la obtención de credenciales y códigos de un solo uso que el estafador utiliza después para ordenar él mismo la transferencia desde fuera, sin que la víctima llegue a confirmar la operación de forma consciente.
Esta distinción importa mucho a la hora de reclamar, porque determina qué tuvo que fallar en la seguridad del banco para que la operación se completara.
Solicita información sin compromiso
Sabemos que no es fácil llegar a este punto. Pero aquí estamos para escucharte, ayudarte y resolver lo que te preocupa.
Por qué estos casos tienen recorrido legal
Aquí es donde muchas personas se sorprenden. Existe la idea extendida de que si diste un dato o confirmaste algo, el banco ya no tiene ninguna responsabilidad. Eso no es exactamente así.
La normativa de servicios de pago, que en España traspone la directiva europea conocida como PSD2, establece un principio central: la carga de la prueba corresponde al banco, no al cliente. Cuando alguien niega haber autorizado una operación, es la entidad bancaria quien tiene que demostrar que la operación fue autenticada correctamente, que no hubo ningún fallo técnico y que, si hubo negligencia por parte del cliente, esa negligencia fue grave.
Esto significa que el banco no puede limitarse a decir «el sistema registra que la operación se autorizó con su clave». Tiene que acreditar que el sistema de autenticación reforzada funcionó como debía, y que no había ninguna señal de alerta razonable que debería haber bloqueado la operación por su parte.
La diferencia entre negligencia simple y negligencia grave
Este matiz decide muchos casos. La ley solo exime de responsabilidad al banco cuando existe negligencia grave del cliente, no ante cualquier error. Contestar a una llamada que imita de forma convincente al banco, o introducir un código en un contexto diseñado deliberadamente para parecer legítimo, se suele valorar como negligencia simple, no grave. Es diferente al caso de alguien que comparte sus claves completas por iniciativa propia sin ningún contexto de engaño elaborado, o que ignora advertencias explícitas y repetidas del propio banco.
Los tribunales españoles llevan varios años dictando resoluciones que reconocen esta diferencia, especialmente en casos donde el fraude se apoyó en técnicas de ingeniería social sofisticadas, como la suplantación del remitente del SMS o el uso de números de teléfono que técnicamente coinciden con los del banco.
Qué papel juega la autenticación reforzada
Desde la entrada en vigor de la normativa europea, los bancos están obligados a aplicar autenticación reforzada en operaciones sensibles, normalmente mediante un segundo factor como un código temporal. Si esa autenticación se saltó, se debilitó, o el sistema permitió una operación de importe elevado sin las verificaciones esperadas, esto se convierte en un argumento central de la reclamación. No basta con que exista un código de un solo uso en el sistema. Hay que revisar si el proceso completo cumplía realmente con el nivel de seguridad exigido.
Qué mira un abogado antes de reclamar
Antes de presentar cualquier reclamación, en Bagavi analizamos varios elementos del caso, porque de ahí depende tanto la viabilidad como la estrategia a seguir.
La cronología exacta de la comunicación fraudulenta
Reconstruir con precisión cómo llegó el primer contacto, qué canal se usó, qué se dijo, y en qué momento se produjo la operación. Los registros de llamadas, capturas de los SMS recibidos y el historial de movimientos bancarios son piezas clave. Cuanto antes se guarde esta información después de detectar el fraude, mejor se puede reconstruir el caso.
Si hubo autenticación reforzada real
Se solicita al banco el detalle técnico de cómo se autorizó la operación. Esto obliga a la entidad a mostrar si realmente hubo doble verificación efectiva o si el proceso tenía fallos que facilitaron el fraude.
El comportamiento previo de la cuenta
Un cambio brusco en el patrón habitual de uso, como una transferencia de un importe muy superior a lo normal hacia una cuenta nueva, debería activar controles de riesgo por parte del banco. Si esos controles no se activaron, es otro punto a favor de la reclamación.
Si el banco puede acreditar consentimiento genuino
No es suficiente con que la operación quedara registrada como autorizada en el sistema. El banco tiene que demostrar que ese consentimiento fue informado y no producto de un engaño que la propia entidad debería haber podido prevenir o detectar.
Solicita información
Sabemos que no es fácil llegar a este punto. Pero aquí estamos para escucharte, ayudarte y resolver lo que te preocupa.
El proceso de reclamación
El camino para reclamar sigue normalmente tres fases, y cada una tiene un papel distinto dentro de la estrategia.
Reclamación directa al banco
Es el primer paso obligatorio. Se presenta una reclamación formal exponiendo lo ocurrido y solicitando la devolución del importe, apoyándose en la normativa de servicios de pago. El banco tiene un plazo legal para responder. En algunos casos, sobre todo cuando la entidad detecta que su sistema de autenticación tenía debilidades evidentes, la devolución se produce en esta fase sin necesidad de ir más allá.
Reclamación ante el Banco de España
Si el banco rechaza la reclamación o no responde en plazo, el siguiente paso es acudir al Departamento de Conducta de Mercado y Reclamaciones del Banco de España. No es un procedimiento judicial, pero genera un informe que analiza si la entidad actuó conforme a la normativa. Este informe, aunque no es vinculante, tiene un peso relevante si el caso acaba llegando a los tribunales.
Vía judicial
Cuando las dos fases anteriores no resuelven el problema, queda la opción de reclamar judicialmente. En Bagavi evaluamos en cada caso si merece la pena dar este paso, considerando el importe reclamado, la solidez de las pruebas y el tiempo estimado del procedimiento. Muchos casos con buena documentación se resuelven antes de llegar a juicio, porque los bancos prefieren evitar litigios donde su responsabilidad queda expuesta con claridad.
Qué no garantiza el éxito
Aquí preferimos ser claros, aunque no sea lo que el cliente quiere escuchar en un primer momento. No todos los casos de phishing tienen el mismo recorrido.
Si existió negligencia grave por parte del titular, por ejemplo compartir claves completas de acceso sin ningún contexto de engaño elaborado, o ignorar advertencias explícitas y repetidas emitidas por el propio banco poco antes de la operación, la reclamación pierde fuerza. También influye el tiempo transcurrido: cuanto antes se actúa después de detectar el fraude, mejor se conservan las pruebas y más rápido se puede frenar cualquier movimiento adicional del dinero.
Tampoco prometemos plazos cerrados. Cada entidad responde a ritmos distintos, y el paso por el Banco de España añade tiempo al proceso. Lo que sí hacemos desde el primer día es explicar con claridad qué opciones existen según la documentación disponible, y ser honestos si un caso concreto tiene poco recorrido.
Preguntas frecuentes
¿El banco siempre devuelve el dinero en casos de phishing?
No siempre. Depende de si el banco puede demostrar que aplicó correctamente la autenticación reforzada y de si existió negligencia grave por parte del cliente. Cuando el fraude se apoyó en suplantación del canal habitual del banco, como en los casos de vishing o smishing, la balanza suele inclinarse a favor del cliente, pero cada caso requiere un análisis individual.
¿Cuánto tiempo tengo para reclamar una transferencia fraudulenta?
Conviene actuar cuanto antes, idealmente en las primeras 24-48 horas, tanto para intentar bloquear el destino del dinero como para conservar mejor las pruebas. La reclamación formal tiene plazos legales más amplios, pero la rapidez en los primeros pasos aumenta las posibilidades de recuperación.
Di el código SMS porque pensé que hablaba con el banco. ¿Eso arruina mi reclamación?
No necesariamente. Si el contexto del engaño era sofisticado, como una llamada que imitaba de forma convincente los protocolos habituales del banco, esto se suele valorar como negligencia simple, no grave. Es precisamente el tipo de situación que conviene que revise un abogado antes de dar la reclamación por perdida.
Ya pasaron varias semanas desde el fraude. ¿Todavía puedo reclamar?
Sí, todavía es posible reclamar, aunque el paso del tiempo puede dificultar la recuperación del dinero si ya fue movido a otras cuentas. Cuanta más documentación conserves del fraude, mejor se puede construir el caso aunque haya pasado tiempo.
¿Tengo que ir a juicio para recuperar el dinero?
No siempre. Muchos casos se resuelven en la fase de reclamación directa al banco o tras el informe del Banco de España, sin necesidad de llegar a los tribunales. La vía judicial queda como último recurso cuando las fases anteriores no dan resultado.
Si has recibido una llamada o un mensaje que suplantaba a tu banco y se ha producido una transferencia que no reconoces, cuanto antes reunamos la documentación, mejor se puede plantear el caso. En Bagavi analizamos la comunicación, los movimientos de la cuenta y la respuesta del banco antes de decirte qué opciones tienes.
Cuéntanos tu caso. Primera consulta gratis y sin compromiso.
Solicita información
Sabemos que no es fácil llegar a este punto. Pero aquí estamos para escucharte, ayudarte y resolver lo que te preocupa.