Estafa bancaria: el banco debe devolver primero el dinero

Qué ha decidido el TJUE, qué hacer tras un phishing, el plazo de devolución, la negligencia grave, los plazos para reclamar y cómo dejar constancia por escrito

El dinero de una estafa bancaria se devuelve antes de discutir quién tuvo la culpa: si el cargo no lo autorizó el titular, la ley obliga al banco a reembolsarlo de forma inmediata y deja para después la cuestión de quién soporta la pérdida.

El Tribunal de Justicia de la Unión Europea ha confirmado, en un caso de phishing de unos 700 euros, que alegar negligencia grave no frena la devolución inmediata.

Es el banco quien debe probar la negligencia grave del cliente, y el simple registro de la operación no basta para demostrarla (art. 44 del Real Decreto-ley 19/2018).

Como el plazo de devolución empieza con el aviso al banco, conviene poder demostrar que llegó; para eso sirve esta guía sobre cuándo enviar un burofax en papel y cuándo uno electrónico.

Takeaways - Puntos clave del artículo

• Un día hábil: El banco debe devolver una operación no autorizada como tarde al final del día hábil siguiente a la notificación o a la detección (art. 45.1 del Real Decreto-ley 19/2018).
• Devolver primero: Según el TJUE (sentencia de 15 de octubre de 2026, asunto C-70/25), alegar negligencia grave no permite al banco negar la devolución inmediata; solo puede reclamar después.
• Prueba a cargo del banco: Corresponde al banco probar el fraude o la negligencia grave del cliente, y el simple registro de la operación no basta para demostrarlo (art. 44 del Real Decreto-ley 19/2018).
• Trece meses como máximo: La operación no autorizada debe comunicarse al banco sin demora injustificada y, en todo caso, dentro de los trece meses siguientes a la fecha del adeudo (art. 43.1).
• Reclamación previa al banco: En los servicios de pago, el servicio de atención al cliente tiene 15 días hábiles para responder; solo después cabe acudir al Banco de España, cuyo informe no es vinculante.

¿Qué ha decidido el TJUE sobre el phishing bancario?

El TJUE ha decidido que un banco no puede negarse a la devolución inmediata de una operación no autorizada alegando que el cliente facilitó el fraude con una negligencia grave: primero devuelve y, si prueba esa negligencia, reclama después la pérdida.

La sentencia, de 15 de octubre de 2026 (asunto C-70/25), responde a una cuestión prejudicial de un tribunal polaco.

Una clienta que vendía un objeto por internet abrió un enlace falso que imitaba la web de su banco, introdujo sus credenciales y perdió unos 700 euros; el banco se negó a devolverlos.

El tribunal interpreta los artículos 69, 73 y 74 de la Directiva (UE) 2015/2366, de servicios de pago, con tres conclusiones:

• Devolución inmediata: el banco reembolsa el importe a más tardar al final del día hábil siguiente a aquel en que observa la operación o se le notifica.
• Una sola excepción: tener motivos razonables para sospechar un fraude del propio cliente y comunicarlos por escrito a la autoridad nacional competente.
• Pérdida, después: el banco puede pedir al cliente que la soporte si demuestra que incumplió sus obligaciones deliberadamente o por negligencia grave.

Las conclusiones del abogado general Athanasios Rantos, de 5 de marzo de 2026, ya proponían esta solución.

En España, la misma obligación figura en el artículo 45 del Real Decreto-ley 19/2018, de servicios de pago, que designa al Banco de España como destinatario de la comunicación por sospecha de fraude.

¿Qué hacer si me han hecho phishing?

Quien ha sufrido un phishing debe avisar a su banco en cuanto lo detecte, pedir el bloqueo de la tarjeta o de las claves afectadas y reclamar después, por escrito, la devolución de las operaciones que no autorizó.

El orden de los pasos importa:

1. Avisar y bloquear: el cliente debe notificar el uso no autorizado sin demora indebida (art. 41.b del Real Decreto-ley 19/2018), por el canal que el banco tenga para estos casos, y anotar la fecha, la hora y el número de incidencia.
2. Conservar las pruebas: correos, SMS, enlaces, capturas de pantalla, números de teléfono y justificantes de las operaciones.
3. Pedir ayuda técnica: la Línea de Ayuda en Ciberseguridad de INCIBE, el 017, es gratuita y confidencial.
4. Reclamar la devolución por escrito: con las operaciones no reconocidas y la fecha del primer aviso.

Desde la notificación, el titular no soporta ninguna consecuencia económica por el uso posterior del instrumento de pago, salvo que haya actuado de forma fraudulenta (art. 46.3).

¿Cuánto tiempo tiene el banco para devolver el dinero?

El banco tiene hasta el final del día hábil siguiente a aquel en que observa la operación no autorizada o recibe la notificación del cliente para devolver el importe, según el artículo 45.1 del Real Decreto-ley 19/2018.

Si el cliente avisa un lunes y el martes es hábil, el reembolso debe llegar como tarde al terminar el martes. La devolución restituye la cuenta al estado anterior al cargo, con una fecha de valor que no puede ser posterior a la del adeudo.

El banco solo puede retener la devolución si tiene motivos razonables para sospechar fraude y los comunica por escrito al Banco de España.

La fecha del aviso al banco es la que pone en marcha ese plazo, y conviene que quede registrada.

¿Qué es la negligencia grave en el phishing?

La negligencia grave en el phishing es un incumplimiento serio del deber del cliente de tomar todas las medidas razonables para proteger sus credenciales de seguridad (art. 41.a del Real Decreto-ley 19/2018); los artículos 41 y 46 la vinculan a ese deber sin enumerar conductas concretas.

Sus efectos están delimitados por la ley y por el TJUE:

• Carga de la prueba: corresponde al banco probar el fraude o la negligencia grave del cliente (art. 44.3).
• Registro insuficiente: que el banco haya registrado el uso del instrumento de pago no basta, por sí solo, para demostrarla (art. 44.2).
• Todas las pérdidas: si el banco la prueba, el cliente soporta todas las pérdidas de las operaciones no autorizadas (art. 46.1).
• Sin autenticación reforzada: si el banco no la exigió, el cliente solo responde si actuó de forma fraudulenta (art. 46.2).

Según la sentencia del TJUE de 15 de octubre de 2026, esa discusión llega después del reembolso: la negligencia grave no permite al banco rechazar la devolución inmediata.

¿Cuál es el plazo para reclamar al banco por phishing?

El plazo para reclamar al banco por phishing es «sin demora injustificada» desde que el cliente conoce la operación y, como máximo, trece meses desde la fecha del adeudo, según el artículo 43.1 del Real Decreto-ley 19/2018.

Ese límite no se aplica si el banco no facilitó ni puso a disposición del cliente la información de la operación que exige la ley.

Cada trámite tiene su propio plazo:

¿Qué hacer si el banco no me devuelve el dinero de una estafa?

Si el banco no devuelve el dinero de una estafa, el cliente debe presentar primero una reclamación por escrito ante su servicio de atención al cliente o su defensor del cliente y, si no responde a tiempo o la respuesta no le satisface, acudir al Banco de España.

Son tres escalones:

1. Servicio de atención al cliente: la reclamación identifica las operaciones, la fecha del aviso y la petición de devolución con base en el artículo 45 del Real Decreto-ley 19/2018; el banco responde en papel o, si se ha acordado, en otro soporte duradero (art. 69).
2. Banco de España: su Departamento de Conducta de Mercado y Reclamaciones exige acreditar que antes se reclamó a la entidad, y su informe no es vinculante para ninguna de las partes.
3. Vía judicial: si el banco mantiene su negativa, queda la demanda, que con carácter general exige intentar antes un MASC; conviene saber cuándo sirve un burofax como MASC antes de demandar.

En cada escalón cuenta poder acreditar cuándo se reclamó, porque de esa fecha dependen los plazos de respuesta y de admisión.

¿Cómo reclamar al banco por phishing con prueba?

Para reclamar al banco por phishing con prueba, la reclamación se envía por escrito al servicio de atención al cliente por un canal que acredite la entrega y su fecha, ya que de ella dependen el plazo de respuesta y la admisión posterior ante el Banco de España.

El escrito gana fuerza si incluye:

• Identificación: nombre, DNI o NIE y número de cuenta o de tarjeta.
• Operaciones: fecha, importe y beneficiario de cada cargo no reconocido.
• Primer aviso: fecha, hora, canal y número de incidencia.
• Petición: la devolución con base en el artículo 45 del Real Decreto-ley 19/2018 y en la sentencia del TJUE de 15 de octubre de 2026 (asunto C-70/25).
• Anexos: justificantes, capturas y, si existe, copia de la denuncia.

Reclama Pronto, de CartaSinSobre, ofrece modelos de reclamación para bancos que se envían por burofax postal, con acuse de recibo y certificación de contenido, desde 24,98 € (IVA incluido), o por burofax electrónico (email, SMS o WhatsApp), con certificados de envío, entrega y apertura, por 9,97 € (IVA incluido).

Quien ya tiene redactado su escrito puede enviarlo con Burofax One, por 24,98, que lo entrega bajo firma en 24 a 72 horas laborables en la península. Los certificados acreditan el envío y la entrega; la respuesta depende del banco.

Ante el Banco de España, la reclamación se presenta por los cauces que indica su web: un burofax al banco no sustituye ese trámite.

Conclusión

El dinero de una operación no autorizada se recupera, en principio, en un día hábil: el banco debe devolverlo aunque alegue negligencia grave y solo después puede reclamarlo si la prueba, como ha confirmado el TJUE el 15 de octubre de 2026.

Avisar sin demora, conservar las pruebas y reclamar por escrito, primero al banco y después al Banco de España, son los pasos que protegen ese derecho.

La reclamación puede enviarse con los modelos de Reclama Pronto para reclamaciones a bancos o, con un escrito propio, por burofax postal online.