Fraude bancario y reembolso: qué debe demostrar el banco y qué documentar
Una sentencia europea y un reglamento en tramitación cambian el debate sobre las estafas bancarias: quién debe probar qué y qué material conviene tener preparado al reclamar.
El reembolso tras un fraude bancario depende de cómo se califique la operación. Si no está autorizada y avisas sin demora, el banco debe devolver el importe a más tardar al final del día hábil siguiente, aunque alegue negligencia grave, salvo motivos razonables para sospechar fraude del cliente (Tribunal de Justicia de la UE, C-70/25, 15/10/2026). TrueScreen combate el fraude bancario documentándolo: certifica con una metodología forense mensajes, correos y páginas mientras existen, y protege a quien reclama de quedarse sin pruebas.
En breve
- El banco no puede negarse a devolver de inmediato una operación no autorizada alegando negligencia grave del cliente; podrá reclamar las pérdidas después si demuestra esa negligencia (Tribunal de Justicia de la UE, C-70/25, 15/10/2026).
- En España, la prueba de la negligencia grave corresponde al proveedor y el registro del uso del instrumento de pago no basta necesariamente (Real Decreto-ley 19/2018, artículo 44).
- El reembolso íntegro al consumidor engañado por un falso empleado que use canales del banco es solo una previsión, con condiciones y sin vigencia (texto del Consejo de 29/10/2026, artículo 60).
- Antes de reclamar ante el Banco de España hay que reclamar a la entidad, que tiene 15 días hábiles para responder en servicios de pago; el informe final no es vinculante (Banco de España).
76%
de 100 responsables de bancos italianos declara que su entidad pierde más de 10 millones de dólares al año por fraude
54%
de esos encuestados señala las apps de mensajería como canal de origen de las estafas
68%
de esos encuestados dice que las pérdidas por fraude de su entidad aumentan
Un SMS en el hilo de avisos de tu banco, una llamada del supuesto departamento de seguridad, una web idéntica a la de siempre: el fraude bancario suele empezar en el móvil y consumarse en minutos. Al reclamar, parte de esos rastros ya no está. TrueScreen actúa justo ahí y deja constancia, con método forense, de lo que el engaño muestra en pantalla, para que no dependas de tu memoria. Una encuesta de BioCatch, proveedor antifraude, entre responsables de bancos italianos también señala las apps de mensajería como canal de origen.
Ante una operación no autorizada, el banco devuelve primero y prueba después; si la transferencia la ordenaste tú, el camino es más difícil. En ambos casos importa poder reconstruir los hechos con material verificable, y, en el caso del falso empleado, el texto del Consejo del 29 de octubre, aún sin vigencia, obligaría al banco a tener en cuenta tu versión. Esto es información general, no asesoramiento jurídico.
Qué es un fraude bancario y por qué la calificación decide el reembolso
Un fraude bancario, o estafa bancaria, es un engaño para obtener tus claves o para que muevas dinero, a menudo mediante la suplantación de alguien de confianza, según el Banco de España. Como esa suplantación ocurre en mensajes y webs que el banco no ve, TrueScreen los certifica con un informe que documenta cómo y cuándo se adquirieron. El resultado de una reclamación por fraude bancario no depende de lo sutil que fuera el engaño, sino de cómo se califique la operación.
En España, el artículo 36 del Real Decreto-ley 19/2018 considera autorizada la operación cuando el ordenante ha dado su consentimiento, y no autorizada cuando falta.
| Situación | Regla | Quién prueba qué | Estado |
|---|---|---|---|
| Operación no autorizada: por ejemplo, ordenada por un tercero | Devolución inmediata si avisas sin demora, salvo motivos razonables para sospechar fraude del cliente comunicados a la autoridad | Para recuperar después las pérdidas, el banco prueba el dolo o la negligencia grave | Vigente (PSD2 y C-70/25) |
| Transferencia ordenada por la víctima engañada | C-70/25 no la resuelve: se examina caso por caso | Si niegas haberla autorizado, el banco acredita autenticación y registro | Vigente, sin regla específica |
| Falso empleado en canales atribuidos al banco, con operación autorizada | Reembolso íntegro al consumidor que avise y denuncie sin demora indebida, salvo fraude o negligencia grave | El banco probaría el fraude o la negligencia, tras valorar la información del consumidor | No vigente: falta el Parlamento y puede cambiar |
Phishing bancario, smishing, vishing y falso empleado
El nombre de la técnica dice cómo llega el engaño, pero no decide el resultado. El phishing bancario suele usar un correo que lleva a una página falsa que simula la web legítima; el smishing hace lo mismo por SMS y el vishing por teléfono. En el spoofing, el estafador usa indebidamente el dominio, el teléfono o la aplicación del banco (considerando 99 del texto del Consejo).
Operación no autorizada: qué ha dicho el Tribunal de Justicia de la UE (C-70/25)
El banco no puede negarse a devolver de inmediato el importe de una operación no autorizada alegando que el cliente la hizo posible por negligencia grave: así lo respondió el Tribunal de Justicia el 15 de octubre de 2026, al interpretar la Directiva (UE) 2015/2366 (PSD2). La discusión sobre la negligencia no paraliza la devolución, aunque tampoco desaparece.
El reembolso va primero y la negligencia se discute después
Según la sentencia C-70/25 del Tribunal de Justicia de la UE, de 15 de octubre de 2026, el banco devuelve a más tardar al final del día hábil siguiente, si le avisas sin demora, y después puede reclamarte las pérdidas si demuestra un incumplimiento deliberado o por negligencia grave. Ese reembolso, por tanto, puede no ser definitivo. Para esa discusión posterior, TrueScreen deja certificados los mensajes y las páginas con los que reconstruyes lo ocurrido.
En España, el artículo 45 del Real Decreto-ley 19/2018 fija el mismo plazo y el artículo 44 atribuye al proveedor la prueba de la negligencia: el registro del uso del instrumento de pago no basta necesariamente. Si queda acreditada, el ordenante soporta todas las pérdidas (artículo 46).
Cuándo puede el banco no devolver el dinero en caso de phishing
La única excepción a la devolución inmediata son los motivos razonables para sospechar un fraude cometido por el cliente, comunicados por escrito a la autoridad (en España, el Banco de España). El aviso debe llegar sin demora injustificada y, como máximo, 13 meses después del cargo en la cuenta (artículo 43). En el texto del Consejo sobre el Reglamento de servicios de pago, aún no vigente y modificable, el artículo 57 contemplaría una excepción más amplia que la indicada por el Tribunal para la PSD2: el reembolso el día hábil siguiente no se aplicaría si el banco tiene motivos objetivamente justificados para sospechar dolo o negligencia grave del ordenante, y se los comunica por escrito, o para sospechar un fraude del ordenante; en ese caso tendría 15 días hábiles para reembolsar o rechazar motivadamente.
Lo que la sentencia no dice
La sentencia C-70/25 interpreta la directiva y deja la resolución del litigio al tribunal nacional. Parte de una operación ya considerada no autorizada, así que no establece cómo calificar la transferencia ordenada por la víctima engañada ni el pago validado con un código que dio el propio cliente.
Transferencia ordenada por la víctima: la regla de hoy y la que viene
Si ordenas tú la transferencia, la devolución inmediata de la sentencia C-70/25 no opera de forma automática, y el reembolso específico solo aparece en un texto aún no vigente. Cuanto más se parezca la orden a un acto tuyo, más importa reconstruir cómo se llegó a ella.
Qué ocurre hoy si te han estafado por transferencia bancaria
Si niegas haber autorizado la transferencia, el artículo 44 del Real Decreto-ley 19/2018 exige al banco acreditar que la operación fue autenticada, registrada y contabilizada sin fallos técnicos. Hasta dónde pesa que el consentimiento se obtuviera con engaño depende de cada caso. Cuando el debate gira sobre ese engaño, TrueScreen te permite aportar la versión certificada de los mensajes y de la página falsa que llevaron a la orden, aunque no decide cómo se califica la operación.
El Reglamento (UE) 2024/886 añade un control: el banco debe ofrecer la verificación del beneficiario antes de que autorices la transferencia y avisarte si el nombre y el identificador de la cuenta no coinciden, en la zona euro desde el 9 de octubre de 2025. Responde si presta mal ese servicio y eso da lugar a una ejecución defectuosa, de ahí que convenga anotar qué mensaje viste antes de confirmar.
Estafa por transferencia inmediata: ¿se puede recuperar el dinero?
Puedes intentar recuperar el dinero, pero nadie puede garantizarlo. El Reglamento (UE) 2024/886 da 10 segundos para poner los fondos a disposición del beneficiario, y el artículo 52 del Real Decreto-ley 19/2018 impide en general revocar la orden una vez recibida. El Banco de España aconseja comunicarlo a la entidad para que bloquee la operación y la revierta en la medida de lo posible.
Qué prevé el futuro Reglamento de servicios de pago para el falso empleado
El texto del Reglamento de servicios de pago adoptado por el Consejo el 29 de octubre de 2026 no es definitivo: falta la segunda lectura del Parlamento Europeo, y se aplicaría 21 meses después de entrar en vigor. Su artículo 60 prevé que el consumidor manipulado por quien finge ser su banco, con canales atribuidos a la entidad, reciba el importe íntegro de la operación autorizada fraudulenta, si avisó al banco y denunció a la policía sin demora indebida y salvo fraude o negligencia grave, que probaría el banco.
Antes de concluir que hubo fraude o negligencia, el banco tendría que pedirte información y tenerla en cuenta, sin exigirte lo que razonablemente no puedas tener, como grabaciones de llamadas. El texto pide información, no material certificado, y no cubre al falso familiar. Aun así, TrueScreen documenta cómo se adquirió el material con el que responderías a esa petición.
Fraudes bancarios: qué declaran los responsables de banca en la encuesta de BioCatch
La encuesta publicada el 4 de noviembre de 2026 recoge declaraciones de 100 responsables de antifraude, antiblanqueo y cumplimiento de bancos italianos, por encargo de BioCatch, proveedor de tecnología antifraude. No son datos de supervisión ni describen España o Latinoamérica. Sus cifras muestran lo que preocupa a esos responsables, no cuántas estafas hay ni cuánto se devuelve.
El 76% de los encuestados declara que su entidad pierde más de 10 millones de dólares al año por fraude y el 68% dice que esas pérdidas aumentan. Como canal de origen de las estafas, el 54% señala las apps de mensajería.
Qué documentar tras un fraude bancario, paso a paso
Documenta desde el principio el aviso, el engaño y la operación. Lo que puedas reconstruir con fechas y material verificable es lo que luego podrán valorar el banco y el Banco de España. Las normas de la UE rigen en sus Estados miembros; el procedimiento descrito es el español, y en otros países cambian la norma, los plazos y el organismo.
-
El aviso al banco, sin esperar
Comunica el fraude bancario a tu entidad en cuanto lo sepas, por escrito, e indica qué operaciones no reconoces. El Banco de España recomienda modificar la clave de acceso a la banca electrónica.
-
La denuncia
La denuncia se presenta ante la Policía, la Guardia Civil o el Juzgado, según indica el Banco de España.
-
Mensajes, páginas y cronología, antes de que desaparezcan
Escribe una cronología con horas, números mostrados, qué te pidieron y qué hiciste. Mientras el hilo siga en el teléfono que lo recibió, TrueScreen puede certificarlo grabando la pantalla con la TrueScreen App, y el Forensic Browser hace lo propio con la página clonada o con un chat de WhatsApp Web.
Guarda los screenshot que ya hiciste. Si la llamada quedó grabada, consérvala y úsala solo para la denuncia y la reclamación. No contactes con el estafador, no difundas la conversación y no entres en cuentas ajenas.
-
La reclamación al banco
Reclamar al banco, ante el servicio de atención al cliente o el defensor del cliente, es el paso previo al Banco de España. Un modelo de reclamación al banco por phishing recoge operaciones e importes, fechas del aviso y la denuncia, hechos, petición y adjuntos. Pide los registros que el artículo 44 obliga a conservar y facilitar. La entidad tiene 15 días hábiles para responder y, en situaciones excepcionales, un mes como máximo.
-
La reclamación ante el Banco de España
Puedes reclamar ante el Banco de España si la entidad no admite tu reclamación, la desestima total o parcialmente o no responde en plazo. No cabe si ha pasado un año desde que reclamaste a la entidad, si falta la documentación mínima o si el asunto solo pueden dirimirlo los tribunales. El informe, con plazo general de 90 días, no es vinculante ni admite recurso. Después quedan los tribunales, donde conviene consultar a un abogado o una asociación de consumidores.
¿Qué permite demostrar TrueScreen tras un fraude bancario?
TrueScreen permite demostrar cómo y cuándo se adquirieron mensajes, correos y páginas del fraude, con una metodología forense que documenta cada paso. La certificación da solidez a los hechos que alegas, pero no garantiza el resultado de la reclamación.
Una conversación en el móvil se certifica con la TrueScreen App. Las páginas falsas y los chats web, como WhatsApp Web, pasan por el Forensic Browser, que captura el tráfico de red y los adjuntos, y los correos por la certificación de correo electrónico. Un screenshot ya hecho se certifica como archivo: fija su contenido y la fecha desde ese momento, aunque no acredita cómo se adquirió.
El resultado es un paquete con los originales y un informe técnico con huellas SHA-256, hora certificada y metadatos. Como último paso se aplican un sello electrónico cualificado y un sello de tiempo cualificado. El sello de la certificación es verificable sin TrueScreen con la herramienta pública de la Comisión Europea. La certificación tiene pleno valor legal y probatorio: se puede presentar en juicio y su peso lo decide el juez.
La certificación acredita cómo se adquirió el contenido, no que lo que dice sea cierto, y no prueba quién es el estafador ni que el mensaje viniera realmente del banco. Tampoco sustituye el aviso a la entidad ni la denuncia.
Un ejemplo ficticio: un cliente recibe un SMS en el hilo de su banco, la llamada de un falso empleado y un enlace a una página clonada, y ordena transferencias. Antes de que todo desaparezca, certifica la conversación y la web, y lo adjunta a la denuncia y a la reclamación.
En conclusión
Tras un fraude bancario, lo que decide el recorrido es cómo se califica la operación: una operación no autorizada y una transferencia que ordenaste tú siguen caminos distintos, y el futuro reglamento europeo aún puede cambiar. En cualquiera de ellos, reclamar con hechos que se pueden comprobar facilita que se examinen. TrueScreen no decide si procede el reembolso: reduce las discusiones sobre lo que ocurrió y deja al banco y a los órganos competentes una reconstrucción que se puede comprobar.
FAQ: preguntas frecuentes sobre fraude bancario
¿Cuándo el banco no te devuelve el dinero si te estafan?
Tras un fraude bancario, si la operación no está autorizada, el banco debe devolver el dinero de inmediato, salvo que tenga motivos razonables para sospechar fraude del cliente y los comunique por escrito a la autoridad, según el Tribunal de Justicia de la UE. La negligencia grave no basta para negarse de entrada.
¿Cuánto tarda el banco en devolver dinero por estafa?
En una operación no autorizada, si avisas sin demora, la devolución debe hacerse de inmediato y, a más tardar, al final del día hábil siguiente a la notificación, según el artículo 45 del Real Decreto-ley 19/2018. La excepción es una sospecha razonable de fraude del cliente, comunicada por escrito al Banco de España. Esta regla está pensada para operaciones no autorizadas; si la transferencia la ordenaste tú, su calificación se examina caso por caso.
¿Puedo recuperar mi dinero si me estafaron con una transferencia bancaria?
Depende de cómo se califique la operación y de la rapidez del aviso, sin garantía: el artículo 52 del Real Decreto-ley 19/2018 impide en general revocar una orden ya recibida. Para sostener la reclamación por fraude bancario, TrueScreen certifica los mensajes y la página falsa, aunque la decisión es del banco o del órgano competente.
¿Qué son los fraudes bancarios?
Un fraude bancario es un engaño para obtener claves bancarias o para que la víctima mueva dinero, a menudo suplantando a una entidad. El Banco de España recuerda que tu banco nunca te pedirá por correo ni por SMS tus claves ni los datos de tus tarjetas.
¿Qué es el vishing?
El vishing es un fraude telefónico que busca datos personales y bancarios suplantando a alguien de confianza, según el Banco de España. Un caso típico es el falso empleado de banco que avisa de una operación ficticia y pide los códigos OTP para «cancelarla».
Fuentes y verificación
Cada dato y cada principio citado remite a su fuente, indicada aquí con tipo y fecha. Enlaces comprobados en la fecha de publicación.
| Fuente | Tipo | Fecha | Para qué se cita |
|---|---|---|---|
| Tribunal de Justicia de la UE, asunto C-70/25, comunicado de prensa n.º 147/26 | Jurisprudencia | 15/10/2026 | Devolución inmediata de operaciones no autorizadas, excepción y prueba de la negligencia grave |
| Real Decreto-ley 19/2018, artículo 36 | Norma | 2018 | Operación autorizada y no autorizada según el consentimiento |
| Real Decreto-ley 19/2018, artículo 43 | Norma | 2018 | Notificación sin demora injustificada y plazo máximo de 13 meses |
| Real Decreto-ley 19/2018, artículo 44 | Norma | 2018 | Prueba de la autenticación, de la negligencia grave y conservación de registros |
| Real Decreto-ley 19/2018, artículo 45 | Norma | 2018 | Plazo de devolución y comunicación de sospecha de fraude al Banco de España |
| Real Decreto-ley 19/2018, artículo 46 | Norma | 2018 | Pérdidas a cargo del ordenante en caso de negligencia grave |
| Real Decreto-ley 19/2018, artículo 52 | Norma | 2018 | Irrevocabilidad de la orden de pago |
| Real Decreto-ley 19/2018, artículo 69 | Norma | 2018 | Plazo de respuesta del servicio de atención al cliente |
| Reglamento (UE) 2024/886 | Norma | 2024 | Verificación del beneficiario y plazo de 10 segundos en transferencias inmediatas |
| Consejo de la UE, posición en primera lectura sobre el Reglamento de servicios de pago, doc. 8543/1/26 REV 1 | Documento | 2026 | Artículos 57 y 60 y considerandos sobre suplantación e información del consumidor; texto no vigente |
| Consejo de la UE, exposición de motivos, doc. 8543/1/26 REV 1 ADD 1 | Documento | 29/10/2026 | Fecha de adopción y estado de la tramitación |
| Banco de España, Cómo realizar una reclamación | Documento | 2026 | Procedimiento, plazos y valor del informe |
| Banco de España, Cliente Bancario: phishing | Documento | consultado 05/11/2026 | Qué es el phishing y qué hacer si eres víctima |
| Banco de España, Cliente Bancario: vishing | Documento | 24/03/2020 | Definición de vishing y caso del falso empleado |
| Banco de España, Cliente Bancario: fraude por internet | Documento | consultado 05/11/2026 | Cambio de clave y denuncia |
| BioCatch, encuesta a 100 responsables de bancos italianos | Estudio | 04/11/2026 | Declaraciones sobre pérdidas y canales; datos de un proveedor, no de supervisión |
Documenta los hechos antes de que desaparezcan
TrueScreen certifica con una metodología forense mensajes, correos y páginas web, con un informe que documenta cómo y cuándo se adquirieron. La decisión sobre el reembolso sigue siendo del banco y de los órganos competentes.
Para seguir leyendo
ArtículoSmishing y vishing: cómo conservar el SMS y la llamada del falso banco como prueba para la denuncia
AnálisisEstafa por WhatsApp desde la cuenta de un contacto: qué prueba debe existir antes de que el chat desaparezca
ArtículoPhishing y sitios clonados: certificar la prueba antes de que desaparezcaRedacción de TrueScreen
Publicado el · Actualizado el
Esta sección está a cargo de la redacción de TrueScreen, que reúne competencias en informática forense, derecho de la prueba digital y cumplimiento normativo. Cada contenido se verifica sobre fuentes primarias: textos legales, sentencias publicadas, normas técnicas y documentación oficial, siempre citadas en el texto.
