Si has sufrido phishing, lo primero es llamar a tu banco para bloquear tarjetas, accesos y operaciones pendientes, y comunicarle por escrito que no autorizaste los cargos. Después denuncia ante la Policía o la Guardia Civil y guarda todas las pruebas. La ley obliga al banco a devolver las operaciones que no autorizaste, salvo que demuestre que actuaste con fraude o negligencia grave. Tienes un máximo de 13 meses para comunicárselo, pero cuanto antes, mejor.
El phishing es el engaño por el que alguien se hace pasar por tu banco (o por Correos, Hacienda o una empresa conocida) con un correo, un SMS o una web falsa para que escribas tus claves. Con ellas, los estafadores entran en tu cuenta, hacen transferencias, Bizum o compras con tu tarjeta. Esta guía te explica qué hacer, en qué orden y por qué cada paso importa para recuperar el dinero.
Despacho colaborador: Hispajuris · más de 600 abogados con cobertura en toda España
¿Has sufrido una ciberestafa? Analiza tu caso
Responde 6 preguntas (importe, cómo ocurrió, adónde fue el dinero y qué documentos tienes) y sabrás al momento si tu caso tiene indicios de viabilidad para reclamar al banco o por la vía judicial. Es confidencial: te atiende un abogado especializado en ciberestafas de la red Hispajuris.
Formulario confidencial. Los casos los gestiona Hispajuris en su portal. Teléfono gratuito: 900 105 108.
¿Qué hago en las primeras horas después de un phishing?
Actúa en este orden. Los dos primeros pasos frenan nuevas operaciones; los demás preparan la reclamación.
- Llama a tu banco de inmediato. Usa el teléfono de la app oficial o el que aparece en el dorso de tu tarjeta, nunca el del mensaje que recibiste. Pide que bloqueen tarjetas, banca online y cualquier operación pendiente.
- Cambia tus claves de banca online, del correo electrónico y de cualquier servicio en el que uses la misma contraseña. Si instalaste alguna aplicación por indicación del estafador, desinstálala.
- Comunica al banco por escrito que no autorizaste las operaciones. Hazlo por la app, por correo o en la oficina, y guarda el justificante con fecha. Esa comunicación es la que pone en marcha la obligación de devolver.
- Denuncia ante la Policía Nacional, la Guardia Civil o la policía autonómica que corresponda. Lleva un relato ordenado con fechas, importes y capturas.
- Reúne las pruebas: el correo o SMS falso, la dirección de la web, los extractos con los cargos, la denuncia y cualquier respuesta del banco.
- Reclama formalmente al servicio de atención al cliente del banco si no te devuelven el dinero. Tiene 15 días hábiles para responderte.
¿Tiene que devolverme el dinero el banco?
En principio, sí. El Real Decreto-ley 19/2018, de servicios de pago, establece en su artículo 45 que, cuando se ejecuta una operación no autorizada, el banco devolverá el importe de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en que se le notifique. Solo puede retrasarlo si tiene motivos razonables para sospechar fraude del propio cliente y lo comunica por escrito al Banco de España.
Además, el artículo 44 pone la carga de la prueba en el banco: es él quien tiene que demostrar que la operación se autenticó y registró correctamente, y que el cliente actuó con fraude o negligencia grave. El simple registro de que se usaron tus claves no basta, por sí solo, para demostrarlo.
Lo explicamos con más detalle en cómo recuperar el dinero de un phishing.
¿Cuánto tiempo tengo para avisar al banco?
Debes comunicarlo «sin demora injustificada» en cuanto te des cuenta y, como máximo, en un plazo de 13 meses desde la fecha del cargo (artículo 43 del Real Decreto-ley 19/2018). No esperes: avisar rápido ayuda a frenar más operaciones y evita que el banco alegue que tardaste en notificarlo.
| Plazo | Qué es | Dónde está |
|---|---|---|
| Sin demora y máximo 13 meses | Para comunicar al banco una operación no autorizada | Art. 43 RDL 19/2018 |
| Final del día hábil siguiente | Para que el banco devuelva el importe tras la notificación | Art. 45 RDL 19/2018 |
| 15 días hábiles (excepcionalmente, 1 mes) | Para que el servicio de atención al cliente responda a tu reclamación | Art. 69 RDL 19/2018 |
¿Qué pruebas tengo que guardar?
Las pruebas son lo que decide muchas reclamaciones. Guarda todo, aunque te parezca poco importante:
- El correo, SMS o mensaje falso, con su remitente y la fecha. No lo borres.
- Capturas de la web falsa y su dirección (la URL).
- Los extractos donde aparecen los cargos, con fecha, importe y destino.
- Las notificaciones o SMS reales del banco que recibiste durante el fraude.
- El justificante de que avisaste al banco y la hora en que lo hiciste.
- La copia de la denuncia.
- Toda respuesta escrita del banco.
Si el dinero salió por transferencia, apunta el IBAN de destino: ayuda a rastrearlo y a pedir el bloqueo de la cuenta receptora.
¿Y si el banco dice que fue culpa mía?
Es la respuesta más habitual: el banco alega que facilitaste tus claves y que eso es «negligencia grave». Que hayas caído en un engaño bien hecho no significa automáticamente que hayas sido gravemente negligente, y es el banco quien tiene que probarlo. Cada caso depende de cómo fue el engaño, de qué medidas de seguridad tenía el banco y de cómo reaccionó. Lo analizamos en negligencia grave en el phishing: cómo se rebate.
¿Cuándo me conviene un abogado?
Si el banco rechaza tu reclamación o no responde, y el importe es relevante, un abogado especializado puede estudiar si la denegación se sostiene y llevar la reclamación al Banco de España o a los tribunales. En asesor.legal trabajamos con el despacho colaborador Hispajuris, una red de más de 600 abogados con cobertura en toda España, que estudia la viabilidad de cada caso de ciberestafa. Puedes ver cómo trabajan en abogado especialista en phishing bancario.
Si el importe es pequeño
Para importes bajos, normalmente no compensa un pleito, pero sí puedes reclamar por tu cuenta:
- Reclamación escrita al servicio de atención al cliente de tu banco.
- Si no responde en plazo o te la deniega, reclamación ante el servicio de reclamaciones del Banco de España.
- Si tienes dudas sobre cómo redactarla, puedes preguntar gratis a Amara, el asistente de asesor.legal.
Preguntas frecuentes
¿Puedo recuperar el dinero si yo mismo di mis claves?
Muchas veces, sí. La ley obliga al banco a devolver las operaciones no autorizadas salvo que pruebe fraude o negligencia grave del cliente. Haber caído en un engaño sofisticado no equivale por sí solo a negligencia grave; depende de las circunstancias concretas de cada caso.
¿Tengo que denunciar para reclamar al banco?
La denuncia no es un requisito legal para pedir la devolución, pero es muy recomendable. Acredita los hechos, la fecha y el engaño, y los bancos suelen pedirla. Además, sin denuncia no hay investigación para identificar a los autores.
¿Cuánto tarda el banco en devolver el dinero?
Según el artículo 45 del Real Decreto-ley 19/2018, debe devolverlo como tarde al final del día hábil siguiente a la notificación, salvo que sospeche razonablemente fraude del cliente y lo comunique por escrito al Banco de España.
¿Hasta cuándo puedo reclamar?
Debes comunicar la operación no autorizada sin demora y, como máximo, en 13 meses desde el cargo. Si el banco no te dio la información de la operación, ese plazo no se aplica. Para acciones judiciales rigen otros plazos que conviene revisar con un abogado.
¿Qué hago si el banco no me contesta?
El servicio de atención al cliente tiene 15 días hábiles para responder (un mes en situaciones excepcionales). Si no lo hace o te deniega la devolución, puedes acudir al Banco de España o estudiar con un abogado la vía judicial.
¿Pierdo algo si espero unos días?
Sí. Avisar tarde permite más operaciones fraudulentas y da argumentos al banco. Llama en cuanto lo detectes y deja constancia escrita el mismo día.
Fuentes
- Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago (BOE): artículos 41, 43, 44, 45, 46 y 69. Consultado el 29/10/2026.
Guía informativa revisada el 29 de octubre de 2026. No sustituye el asesoramiento de un abogado sobre tu caso concreto.
