¿Víctima de Phishing?: así puedes reclamar a tu banco

Si has recibido un enlace o un sms, lo has abierto o contestado, y a lo que te has dado cuenta, te han vaciado las cuentas, has sido victima de un ciberfraude o phishing.

Como abogado de derecho bancario en Zaragoza aquí te explicaré todo lo que debes saber para reclamar por phishing a tu banco.

¿Qué es el phishing?

El phishing es una ciberestafa. Es una técnica (en realidad hay muchas) empleada por los ciberdelincuentes para engañar a sus víctimas a fin de conseguir que les proporcionen información personal confidencial (datos del DNI, claves de banca electrónica, o claves de la tarjeta de crédito).

Aunque hablamos de phishing (así en general) la verdad es que existen muchas modalidades. No cabe duda de que los delincuentes le echan imaginación, y utilizan para cometer el ciberfraude diferentes medios:

• correos electrónicos,
• páginas web,
• pop-up,
• códigos QR,
• llamadas telefónicas,
• mensajes de texto por SMS,
• mensajes por WhatsApp,
• o redes sociales,

Utilizan estas, y cualquier otra que te puedas imaginar, porque los ciberdelincuentes lo cierto es que no descansan…

¿Cual es la modalidad más habitual de phishing?

Quizá la que consiste en que el ciberdelincuente te envía un correo electrónico o un SMS haciéndose pasar por tu banco y en el que te adjunta un enlace.

En estos mensajes el estafador busca asustar a la víctima. Por ejemplo, te dice que se han detectado movimientos sospechosos en tu cuenta, y te pide actuar con urgencia para solucionarlo (entrando en el enlace que le envían por ejemplo). Y aquí es donde empieza el problema:

• Tú, que eres la victima, crees que el correo o el mensaje es real (que es tu banco) y accedes al enlace.
• Este te redirecciona a una página web que imita a la de su banco (o nada más picar en el enlace te llaman de un teléfono que, en tu propio móvil, aparece como perteneciente al banco).
• En la creencia de que estás operando con tu banco proporcionas todos los datos que te piden (usuario de la banca electrónica, contraseña, firma electrónica, etc.).
• Y sin darte cuenta, te acaban de desplumar…

Si estás pensando que eso no te puede ocurrir a ti, porque no puede ser tan difícil detectar el fraude, siento decirte que estás equivocado.

Los delincuentes pueden suplantar el teléfono o el correo electrónico de tu banco (recibes el SMS del mismo teléfono que utilizas para comunicaciones reales con tu banco), e incluso pueden clonar la página web de tu banco de una forma tan exacta que es muy difícil de detectar.

Así que si te han estafado y no te has dado ni cuenta… no te mortifiques. Te ha pasado a ti, y le puede pasar a cualquiera. Eso sí, mantén la calma. En muchas ocasiones, el banco tiene obligación de devolverte lo que los ciberdelicuentes te quitaron. Ahora verás.

¿Puedes reclamar por phishing a tu banco?

Si el fraude ha consistido en la realización de pagos electrónicos por parte del ciberestafador que ha conseguido tus claves (por ejemplo, transferencias o pagos con tarjeta), sí que podrás reclamar por phishing a tu banco.

La razón parece obvia.

Las operaciones de pago realizadas no han sido autorizadas por ti. Si un delincuente profesional te ha engañado para sacarte las claves de tu cuenta online, los pagos que haya hecho desde tu cuenta, no se han realizado por ti o con tu consentimiento. Se han realizado por el delincuente mediante engaño.

En estos casos hay que acudir a lo que dispone el Real Decreto-Ley que regula los Servicios de Pago. Esta norma regula la responsabilidad de los proveedores de servicios de pago (bancos, entre otras empresas) en el caso de operaciones de pago no autorizadas.

¿Qué obligaciones tienes como usuario?

Según el Real Decreto-Ley el usuario tiene dos obligaciones fundamentales:

• Utilizar el instrumento de pago de conformidad con las condiciones pactadas y tomar medidas razonables a fin de proteger sus credenciales de seguridad.
• En caso de utilización no autorizada (y en caso de extravío, sustracción o apropiación indebida del instrumento de pago) notificarlo al proveedor de servicios de pago sin dilación. En cuanto tenga conocimiento.

Si el usuario ha cumplido con estas obligaciones, y aun así ha sido víctima de phishing, el banco tendrá obligación de responder y devolverle todo lo sustraído. Y es que el banco tiene la obligación de contar con todas las medidas de seguridad necesarias para que ninguno de sus clientes sufra un ataque de phishing.

¿El banco siempre es responsable o existen excepciones?

Como podrás imaginar, esta responsabilidad del banco tiene excepciones.

El Banco no responderá por el phishing cuando:

• Pueda probar que su cliente ha actuado de forma fraudulenta. Vamos, que no ha sido víctima de phishing, sino que ha intentado defraudar a su banco denunciando una supuesta sustracción de dinero que nunca existió.
• Pueda probar que su cliente incumplió la obligación de custodia de sus claves personales de forma deliberada o por negligencia grave. Y aquí está la madre de cordero. A esto se agarran los bancos para no responder.

No obstante, ya son mayoría los Tribunales (incluido el Tribunal Supremo desde este mismo año 2025) que consideran que la negligencia que libera al banco de tener que responder tiene que ser muy grave. Y es que los timos están cada vez mejor montados, y una persona normal que no se dedica a estas cosas, lo tiene muy difícil para darse cuenta del engaño.

¿Qué tienes que hacer si has sido víctima de una ciberestafa por phishing?

Has caído en la trampa, y ya has descubierto el pastel. Sudas por cuatros costados, pero no tienes ni idea de lo que debes hacer…

Te lo explico aquí:

1.- En cuanto descubras el ciberfraude, lo tienes que notificar a tu banco de inmediato. La entidad bancaria lo bloqueará todo y te dará nuevas contraseñas para que puedas operar.

2.- A continuación, tienes que acudir a la Comisaría de Policía o al Cuartel de la Guardia Civil para poner una denuncia. Deberás aportar todos los detalles que puedas, y llevarte toda la documentación que tengas:

• • correos enviados por el ciberdelincuente
  • capturas de pantalla de las conversaciones por SMS,
  • captura de pantalla de la web fraudulenta,
  • justificantes de los cargos, transferencias o pagos que se hayan hecho de forma fraudulenta,
  • cualquier otra documentación que pruebe que la operación no fue autorizada por ti.

3.- El siguiente paso es presentar una reclamación por phishing al departamento de fraudes de tu banco. Tendrás que adjuntar toda la documentación y la denuncia que pusiste. Recuerda: ¡Las reclamaciones siempre por escrito!

4.- Hecha la reclamación, la entidad debería:

• devolverte el dinero sustraido de inmediato. Es una devolución provisional, pero lo cierto es que que pocas veces el banco lo hace
• y conestarte por escrito en el plazo de 15 días aceptando o denegando la reclamación:
• • Si el banco deniega tu reclamación, tendrás que reclamar por escrito al Servicio de atención al cliente que dispondrá de otros 15 días para resolver.
  • Y si vuelve a denegar la reclamación por phishing, podrás acudir a los Tribunales para exigir a tu banco la devolución de todo el dinero sustraído con sus intereses.

¿Has sido victima de un ciberfraude y necesitas asesoramiento profesional?

Si has sido victima de un ataque de phishing y, además del disgusto, sientes que todo esto te viene grande; o has contactado con tu banco y, no solo no te hace caso, sino que te hace responsable, no pierdas la calma.

Recopila toda la información y documentos que tengas, y contacta con un abogado especialista en reclamacion por phishing y ciberfraudes en Zaragoza. Seguro que te podrá ayudar.

Y recuerda que si aun tienes alguna duda o quieres consultar tu caso particular, puedes contactar conmigo. ¡Estoy aquí para ayudarte!