Phishing por email, smishing por SMS, llamadas falsas del "operador del banco", suplantación de la web, transferencias no autorizadas... La ley europea de servicios de pago obliga al banco a restituir el dinero salvo que demuestre tu negligencia grave. La carga de la prueba está sobre el banco — y la mayoría de las veces no puede demostrarla.
Tras la directiva europea PSD2 y el Real Decreto-ley 19/2018 de servicios de pago, las reglas son claras: ante una operación no autorizada, el banco debe restituir íntegramente el importe en el siguiente día hábil al de la notificación, salvo que demuestre dos cosas — (1) que la operación está autenticada y (2) que tú actuaste con fraude o negligencia grave.
La carga de la prueba recae sobre el banco, no sobre la víctima. Y la jurisprudencia es muy estricta: clicar en un enlace recibido por SMS aparentemente del banco no es negligencia grave si los protocolos de seguridad del banco fueron suficientes para que el ataque tuviera éxito. Si el banco no detectó la operación anómala, no aplicó autenticación reforzada, o el cliente fue víctima de una técnica sofisticada (suplantación, ingeniería social), el banco debe responder.
El plazo para reclamar es de 13 meses desde el cargo no autorizado. Pero conviene actuar inmediatamente: cuanto antes notifiques al banco y a la policía, mayores las probabilidades de bloquear el dinero antes de que se transfiera fuera del sistema.
Cada modalidad tiene matices probatorios distintos. La estrategia legal varía según la técnica empleada por los estafadores y los protocolos de seguridad que aplicó tu banco.
Recibes un correo aparentemente del banco con un enlace que te lleva a una web idéntica a la oficial donde introduces credenciales. Banco responde si no aplicó autenticación reforzada o no detectó anomalías.
SMS que aparece en el mismo hilo de mensajes legítimos del banco (spoofing del número). Modalidad más sofisticada — la jurisprudencia presume diligencia del cliente cuando el SMS aparece junto a otros del banco real.
Te llaman fingiendo ser del departamento antifraude del banco. Te avisan de una "operación sospechosa" y te piden códigos para "frenarla". El banco responde si no detectó la suplantación de su línea o no avisó del riesgo.
Acceso no autorizado a tu banca online y transferencias a cuentas mula. Si el banco no aplicó autenticación reforzada (SCA) según PSD2, debe responder íntegramente.
Bizum no autorizado, pagos inmediatos a cuentas que el banco debió detectar como sospechosas. Especial atención al deber de monitorización del banco sobre operaciones atípicas.
Cuando el banco se ha negado a reembolsar y has sufrido perjuicios documentados (ansiedad, pérdida de tiempo, dificultades económicas derivadas), se puede reclamar daño moral añadido al principal.
Pídenos un análisis gratuito y te respondemos en menos de 24 horas.
Indica los datos básicos del fraude. Calculamos la viabilidad de la reclamación según la jurisprudencia consolidada y los criterios PSD2.
El tiempo es crítico en fraude digital — cuanto antes actuemos, mayores las probabilidades de bloquear el dinero. Déjanos tus datos y un abogado del bufete revisará tu caso urgentemente. En menos de 24 horas tendrás un informe con la viabilidad y los siguientes pasos inmediatos.
El marco europeo y español sobre fraude digital se ha endurecido en los últimos años — siempre a favor del consumidor. Estas son las tres referencias clave.
Toda operación de pago electrónico debe aplicar autenticación reforzada (SCA) — dos factores independientes. Si el banco no la aplicó correctamente, responde íntegramente del fraude.
El banco debe restituir el importe en el día hábil siguiente a la notificación, salvo que demuestre fraude o negligencia grave del cliente. La carga probatoria recae sobre el banco, no sobre la víctima.
Las Audiencias Provinciales han consolidado el criterio: clicar en un enlace recibido no es por sí mismo negligencia grave. Si el ataque era sofisticado y los protocolos del banco insuficientes, el banco responde.