El phishing es una suplantación de identidad: alguien se hace pasar por tu banco mediante un correo, un SMS (smishing) o una llamada (vishing) para conseguir tus claves de acceso o los códigos de confirmación de una operación. Penalmente es una estafa informática, recogida en el artículo 249 del Código Penal. Civilmente, la clave está en otro sitio: si tú no diste un consentimiento real y consciente a esa transferencia, la operación se considera «no autorizada» a efectos del Real Decreto-ley 19/2018 de servicios de pago, aunque hayas sido tú quien ha pulsado los botones en tu móvil.

No, y es el error más extendido entre las víctimas. El Tribunal Supremo, en su Sentencia 571/2025, de 9 de abril, ha dejado claro que el hecho de que un tercero haya accedido a tus claves no implica por sí solo negligencia grave por tu parte. Caer en un engaño bien elaborado no equivale a actuar con descuido. La ley exige al banco algo más: debe demostrar que tú actuaste con una negligencia grave, consciente y temeraria, no basta con que apunte a que «las claves las tenías tú».

Como norma general, sí. El artículo 45 del Real Decreto-ley 19/2018 obliga al banco a devolver de forma inmediata el importe de una operación de pago no autorizada, dejando la cuenta del cliente en la situación en la que estaría si el fraude no hubiera ocurrido. El banco solo puede librarse de esa obligación si prueba que hubo fraude por tu parte o negligencia grave, y esa prueba le corresponde a él, no a ti.

Antes de esta sentencia, muchos bancos rechazaban la devolución alegando que la operación se había autenticado correctamente (doble factor, huella, código SMS), dando por hecho que eso ya demostraba la autorización del cliente. El Supremo ha corregido ese razonamiento: que el sistema de autenticación funcionara técnicamente no demuestra que el cliente autorizara la operación, ni que el banco tuviera sistemas capaces de detectar un patrón de fraude evidente, como varias transferencias seguidas a horas poco habituales. La carga de demostrar que todo se hizo bien recae en la entidad.

El artículo 43 del Real Decreto-ley 19/2018 fija un plazo máximo de trece meses desde la fecha del cargo para notificar al banco que esa operación no la autorizaste. Pasado ese plazo, pierdes la vía de reclamación por esta ley. En la práctica, cuanto antes avises, mejor: una reclamación presentada el mismo día o al día siguiente del fraude siempre se valora mejor que una de varias semanas después, aunque formalmente sigas dentro de plazo.

Tres pasos, en este orden: primero, llama a tu banco para bloquear tarjetas, banca online y cualquier operación en curso. Segundo, presenta denuncia en la Policía Nacional o la Guardia Civil, explicando con detalle cómo se produjo el engaño y aportando capturas de los mensajes o correos falsos. Tercero, envía una reclamación por escrito al Servicio de Atención al Cliente del banco pidiendo la devolución, citando el Real Decreto-ley 19/2018. Guarda copia de todo: capturas, justificantes, número de denuncia y la respuesta del banco, aunque sea una negativa.

La ley no lo exige como requisito para reclamar al banco, pero conviene hacerlo igualmente por dos motivos: acredita que actuaste con diligencia desde el primer momento, y es la vía para perseguir penalmente al estafador, que es un proceso distinto e independiente de la reclamación civil frente al banco. Puedes reclamar al banco y denunciar al delincuente a la vez; no son excluyentes.

Es la respuesta más habitual, y no es el final del camino. Que la operación pasara el doble factor de autenticación no demuestra, por sí solo, que tú la autorizaras; es justo el argumento que el Tribunal Supremo ha rechazado en la Sentencia 571/2025. Desde ahí se puede acudir al Servicio de Reclamaciones del Banco de España y, si tampoco prospera, iniciar la vía judicial civil. Los tribunales vienen fallando de forma mayoritaria a favor del cliente en estos casos, incluyendo intereses y, en bastantes ocasiones, las costas del procedimiento a cargo del banco.

Sí. La vía legal es la misma: lo relevante no es el canal por el que te engañaron (un SMS, una llamada o una tarjeta SIM duplicada), sino si la operación de pago final contó o no con tu consentimiento real. La propia Sentencia 571/2025 resuelve precisamente un caso de SIM swapping combinado con transferencias no autorizadas, y confirma que esta modalidad no exime de responsabilidad al banco.

Depende del despacho y de cómo se plantee cada caso: honorarios fijos, por horas o a resultado. Lo importante antes de firmar nada es que te dejen claro el modelo de honorarios y qué pasa si la reclamación no prospera. En BG Abogados estudiamos cada caso de forma personalizada y te explicamos desde el principio cómo trabajamos, sin sorpresas una vez iniciado el proceso.