Guías del despachoBancario y financiero

Le vaciaron la cuenta con un phishing: el banco debe devolverlo

Actualizada el 2026-09-01 · Revisado por Jaime Piñeira Pardo, colegiado ICAM nº 138826

La respuesta corta

Notifique la operación sin demora y reclame por escrito la devolución. El artículo 45.1 del Real Decreto ley 19/2018 obliga al proveedor a reintegrar el importe de inmediato y a más tardar al final del día hábil siguiente. Si se niega, es él quien debe probar, según el artículo 44, que la operación se autenticó o que usted incurrió en negligencia grave.

Usted recibió un mensaje que parecía de su banco avisando de un acceso sospechoso, con el mismo remitente y el mismo hilo de mensajes en el que le llegan los códigos de siempre. Pinchó, introdujo sus claves y, acto seguido, le llamó alguien que se identificó como el departamento de seguridad y le pidió confirmar una anulación. En veinte minutos salieron cuatro transferencias por doce mil euros. En la oficina le dicen que las operaciones están firmadas con su clave y que no pueden hacer nada.

El caso, en cinco líneas

Qué se ejercita: Reclamación de devolución del importe de operaciones de pago no autorizadas conforme al artículo 45 del Real Decreto ley 19/2018 y, ante la negativa del proveedor, demanda civil de reintegro con los daños causados.
Ante quién: La sección Civil del Tribunal de Instancia del domicilio del usuario del servicio de pago, con apelación ante la Audiencia Provincial.
Plazo: La notificación al proveedor debe hacerse sin demora, y el artículo 45.1 le obliga a devolver el importe a más tardar al final del día hábil siguiente a aquel en que lo observó o se le notificó. La reclamación judicial posterior es una acción personal sujeta a los cinco años del artículo 1964.2 CC.
Quién puede: El ordenante, es decir el titular de la cuenta de la que salió el dinero, y los cotitulares. Cuando la cuenta es de una sociedad, la propia sociedad a través de su órgano de administración.
Riesgo económico: Si el tribunal aprecia negligencia grave, el artículo 46.1 hace que usted soporte todas las pérdidas y la demanda se desestima, con posible condena en costas. El límite de cincuenta euros solo juega en los supuestos de extravío, sustracción o apropiación indebida del instrumento de pago.

Que la operación lleve su clave no significa que usted la autorizara

Es la respuesta estándar en la oficina y la ley la desmonta de forma expresa. El artículo 44.2 del Real Decreto ley 19/2018 dice que el registro por el proveedor de servicios de pago de la utilización del instrumento de pago no bastará, necesariamente, para demostrar que la operación fue autorizada por el ordenante, ni que este actuó de manera fraudulenta o incumplió sus obligaciones de forma deliberada o por negligencia grave.

La distinción es la clave del caso: autenticación no es autorización. Que el sistema comprobara unas credenciales solo acredita que alguien las introdujo. Quien las introdujo y en qué circunstancias es otra cuestión, y es precisamente la que el proveedor tiene que despejar cuando el cliente niega haber autorizado el pago.

La carga de la prueba está invertida, y eso cambia todo el caso

El artículo 44.1 dice que cuando un usuario niegue haber autorizado una operación ya ejecutada, o alegue que se ejecutó de manera incorrecta, corresponderá al proveedor demostrar que la operación fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado. No es usted quien debe explicar cómo entraron en su cuenta.

El artículo 44.3 completa el cuadro: corresponderá al proveedor de servicios de pago probar que el usuario del servicio de pago cometió fraude o negligencia grave. Es decir, la entidad no puede limitarse a afirmar que usted fue descuidado, tiene que acreditarlo con hechos concretos, y la simple existencia de un mensaje fraudulento bien imitado no acredita descuido alguno.

Hay además una obligación documental que juega a su favor. El artículo 44.4 impone al proveedor conservar la documentación y los registros que acrediten el cumplimiento de sus obligaciones y facilitarlos al usuario que los solicite, durante al menos seis años. Pedirlos por escrito es el primer movimiento del caso, porque de ahí sale la prueba que la entidad no querrá aportar.

El plazo de devolución es el día hábil siguiente, no cuando acabe su investigación

El artículo 45.1 es concreto: ejecutada una operación de pago no autorizada, el proveedor del ordenante devolverá el importe de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en que haya observado o se le haya notificado la operación. Y añade que restituirá la cuenta al estado en que se habría encontrado de no haberse efectuado la operación.

La única excepción que el precepto contempla es que el proveedor tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España, en la forma, con el contenido y en los plazos que este determine. No basta con sospechar en silencio ni con abrir un expediente interno: la excepción exige esa comunicación formal al supervisor.

El mismo artículo cierra un detalle que se olvida a menudo: la fecha de valor del abono en la cuenta del ordenante no será posterior a la fecha de adeudo del importe devuelto. La devolución tiene que dejarle indemne también en intereses y en descubiertos generados, y eso se reclama de forma expresa cuando la cuenta quedó en números rojos.

Sin autenticación reforzada, usted solo responde si actuó de forma fraudulenta

El artículo 46.2 es una de las reglas más útiles y menos invocadas: si el proveedor de servicios de pago del ordenante no exige autenticación reforzada de cliente, el ordenante solo soportará las posibles consecuencias económicas en caso de haber actuado de forma fraudulenta. La comprobación de cómo se validó cada transferencia se convierte así en el punto técnico central del asunto.

El apartado tercero añade que, salvo actuación fraudulenta, el ordenante no soportará consecuencia económica alguna por la utilización del instrumento con posterioridad a la notificación. Y el cuarto establece que si el proveedor no tiene medios adecuados para notificar en todo momento el extravío o la sustracción, el ordenante no responde de las consecuencias, salvo fraude.

Por eso importa tanto documentar la hora exacta de su llamada o de su aviso por la aplicación, y también si el teléfono de incidencias funcionaba, cuánto tardaron en atenderle y qué le dijeron. Ese registro decide qué operaciones quedan fuera de su responsabilidad por haberse ejecutado después del aviso.

La negligencia grave es un listón alto, y el banco tiene que superarlo

El artículo 46.1 establece que el ordenante puede quedar obligado a soportar hasta un máximo de cincuenta euros las pérdidas derivadas de operaciones no autorizadas resultantes de la utilización de un instrumento de pago extraviado, sustraído o apropiado indebidamente. Solo pierde ese límite quien haya actuado de manera fraudulenta o haya incumplido, deliberadamente o por negligencia grave, sus obligaciones.

Negligencia grave no es cualquier descuido. En un fraude que replica la identidad visual del banco, entra por el mismo hilo de mensajes donde llegan los códigos legítimos y se remata con una llamada desde un número suplantado, sostener que la víctima fue gravemente negligente exige mucho más que señalar que introdujo sus claves.

El propio artículo 46.1 exime de toda responsabilidad en caso de sustracción, extravío o apropiación indebida cuando las operaciones se hayan efectuado de forma no presencial utilizando únicamente los datos de pago impresos en el instrumento, siempre que no haya habido fraude ni negligencia grave en la custodia y se haya notificado sin demora. Es la regla que cubre muchos cargos con tarjeta a distancia.

Cómo lo llevamos, paso a paso

1
Notificamos sin demora y dejamos constancia de la hora
El aviso a la entidad se hace por el canal disponible y se documenta al instante: capturas de la aplicación, registro de la llamada y confirmación por escrito. La hora del aviso separa las operaciones anteriores de las posteriores, con consecuencias distintas.
2
Denunciamos el fraude ante la policía
La denuncia describe el mensaje recibido, la llamada y las transferencias salidas, y aporta las capturas. Sirve para acreditar la existencia del fraude frente a la entidad y para que el asunto se investigue, además de fijar una fecha cierta.
3
Exigimos la devolución del artículo 45
Reclamamos por escrito el reintegro inmediato y, a más tardar, al final del día hábil siguiente, con la restitución de la cuenta al estado anterior y la fecha de valor correcta. La reclamación cita el precepto y fija el día del que arranca el incumplimiento.
4
Pedimos los registros técnicos de las operaciones
Requerimos los logs de autenticación, el dispositivo y la dirección desde la que se ordenaron los pagos y la constancia de si se aplicó autenticación reforzada. El artículo 44.4 obliga a conservar y facilitar esa documentación al usuario que la pide.
5
Demandamos el reintegro si la entidad se niega
La demanda reclama el importe sustraído, los intereses y los perjuicios derivados del descubierto, y traslada a la entidad la carga de probar la autenticación o la negligencia grave que exigen los artículos 44 y 46.

La prueba que decide el caso

Las capturas del mensaje o del correo fraudulento, mostrando que llegó al mismo hilo que los avisos legítimos del banco.
El registro de llamadas del teléfono, con el número suplantado y la duración de la conversación con el falso departamento de seguridad.
El extracto con las operaciones discutidas, su hora exacta y el momento en que usted dio el aviso a la entidad.
Los registros de autenticación aportados por el proveedor, que revelan si se aplicó autenticación reforzada en cada operación.
La denuncia policial con su número de atestado y la relación de importes reclamados.
La respuesta escrita del servicio de atención al cliente, que suele reconocer la fecha en que se notificó el fraude.

Lo que cierra la puerta

Esperar unos días a ver si el dinero vuelve solo. El artículo 45.1 mide el plazo de devolución desde que la entidad observó o se le notificó la operación, de modo que retrasar el aviso retrasa todo lo demás.
Aceptar por teléfono la explicación de que la operación está firmada con su clave. El artículo 44.2 dice que ese registro no basta necesariamente para demostrar que usted la autorizó.
Firmar un documento de conformidad con una devolución parcial. Suele incorporar una renuncia al resto de la reclamación y cierra el camino a los importes no reintegrados.
No denunciar por vergüenza. Sin denuncia se pierde la prueba externa del fraude y la entidad aprovecha esa ausencia para sostener que la operación fue consentida.

La norma aplicable

Art. 44 del RDL 19/2018. Cuando el usuario niega haber autorizado una operación ya ejecutada, corresponde al proveedor demostrar que fue autenticada, registrada con exactitud y contabilizada y que no hubo fallo técnico. El registro de la utilización del instrumento no basta necesariamente para probar la autorización, el fraude ni la negligencia grave, y es el proveedor quien debe probar esos extremos, conservando la documentación al menos seis años. BOE-A-2018-16036
Art. 45 del RDL 19/2018. Obliga al proveedor del ordenante a devolver el importe de la operación no autorizada de inmediato y a más tardar al final del día hábil siguiente a aquel en que la observó o se le notificó, y a restituir la cuenta al estado anterior, salvo que tenga motivos razonables para sospechar fraude y los comunique por escrito al Banco de España. La fecha de valor del abono no será posterior a la del adeudo. BOE-A-2018-16036
Art. 46 del RDL 19/2018. Limita a cincuenta euros lo que el ordenante puede soportar por operaciones no autorizadas con instrumento extraviado, sustraído o apropiado indebidamente, con excepciones; le hace soportar todas las pérdidas solo si actuó de manera fraudulenta o incumplió sus obligaciones deliberadamente o por negligencia grave; y establece que, si no se exigió autenticación reforzada, solo responde en caso de fraude propio. BOE-A-2018-16036
Art. 1964.2 CC. Somete las acciones personales sin plazo especial a una prescripción de cinco años desde que pueda exigirse el cumplimiento de la obligación. Es el plazo de la reclamación judicial de reintegro cuando el proveedor incumple el deber de devolución y hay que acudir a los tribunales. BOE-A-1889-4763

Artículos comprobados uno a uno contra el texto consolidado del BOE.

Preguntas frecuentes

El banco dice que las transferencias llevan mi clave. ¿Eso zanja el asunto?

No. El artículo 44.2 del Real Decreto ley 19/2018 dice expresamente que el registro de la utilización del instrumento de pago no bastará necesariamente para demostrar que la operación fue autorizada por el ordenante, ni que este actuó de manera fraudulenta o con negligencia grave. Autenticar unas credenciales y autorizar un pago son cosas distintas, y la entidad debe acreditar la segunda.

¿En cuánto tiempo tiene que devolverme el dinero?

El artículo 45.1 obliga a devolver el importe de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en que la entidad observó la operación o se le notificó. La única excepción es que tenga motivos razonables para sospechar fraude y los comunique por escrito al Banco de España, en la forma y plazos que este determine.

Yo di los códigos. ¿Eso es negligencia grave?

No de forma automática, y en todo caso es la entidad quien debe probarlo: así lo dice el artículo 44.3. Se valora el conjunto de circunstancias, incluido que el mensaje replicara la identidad del banco, llegara al mismo hilo que los avisos legítimos y se completara con una llamada desde un número suplantado. Facilitar datos engañado no equivale a incumplir con negligencia grave.

¿Y si el banco no me pidió una segunda verificación?

Es un argumento muy fuerte. El artículo 46.2 dispone que si el proveedor de servicios de pago del ordenante no exige autenticación reforzada de cliente, el ordenante solo soportará las consecuencias económicas en caso de haber actuado de forma fraudulenta. Por eso se piden los registros técnicos de cada operación: acreditar que no hubo autenticación reforzada resuelve buena parte del caso.

¿Responden también de las operaciones hechas después de mi aviso?

El artículo 46.3 establece que, salvo en caso de actuación fraudulenta, el ordenante no soportará consecuencia económica alguna por la utilización del instrumento con posterioridad a la notificación. De ahí la importancia de documentar la hora exacta del aviso: cada cargo posterior a ese momento queda, por regla, fuera de su responsabilidad.

Esta guía explica cómo funciona la acción en general. No sustituye al estudio de su caso: los plazos dependen de cuándo pasaron las cosas y de lo que usted haya hecho desde entonces.