Las estafas bancarias ya no llegan solo por correo: llegan por SMS que aparecen junto a los mensajes reales de tu banco, por llamadas que muestran su número, por WhatsApp o por Bizum. En esta guía te explicamos cómo reconocer las más frecuentes, qué hacer en los primeros minutos si te ha pasado y, sobre todo, cuándo tiene que devolverte el dinero el banco según la ley y cuándo no.
Al final tienes una herramienta que te dice qué te corresponde en tu caso y te prepara la reclamación por escrito, lista para copiar.
Última revisión: 24 de octubre de 2026. Basada en el Real Decreto-ley 19/2018 de servicios de pago (BOE), en la sentencia del Tribunal de Justicia de la UE de 15 de octubre de 2026 (asunto C-70/25), en los criterios y avisos del Banco de España y en la información de INCIBE. Contenido informativo, no es asesoramiento jurídico: cada caso depende de lo que pueda probar cada parte.
Respuesta rápida: tu banco nunca te pedirá por SMS, correo o teléfono tus claves completas ni un código para «cancelar» una operación. Si alguien lo hace, es una estafa: cuelga y llama tú al número oficial.
Si ves un cargo que no has hecho, bloquea la tarjeta, avisa al banco y denuncia. Si la operación no la autorizaste, la ley obliga al banco a devolverte el dinero como tarde al final del día hábil siguiente, salvo que sospeche fraude y lo comunique al Banco de España. Si después prueba que actuaste con fraude o negligencia grave, puedes tener que asumir tú la pérdida. Si fuiste tú quien hizo el pago engañado, la operación se considera autorizada y recuperar el dinero es mucho más difícil.
Las estafas bancarias más frecuentes y cómo reconocerlas
Casi todas usan la misma técnica: lo que el Banco de España llama ingeniería social, es decir, engañarte para que seas tú quien entregue tus datos o haga el pago. Por eso todas tienen algo en común: prisa. Te dicen que tu cuenta se va a bloquear, que hay un cargo sospechoso o que tienes un paquete retenido, para que actúes sin pensar.
| Estafa | Cómo llega | La señal de alarma |
|---|---|---|
| Phishing | Un correo que parece de tu banco, de Hacienda o de una empresa conocida, con un enlace a una web falsa | Te pide tus claves, los datos de la tarjeta o que «confirmes tu identidad» |
| Smishing | Un SMS, a veces en el mismo hilo que los mensajes reales de tu banco | Trae un enlace o un teléfono para «anular» una compra que no has hecho |
| Vishing | Una llamada de un supuesto empleado del banco, a veces mostrando su número real | Te pide el código que te acaba de llegar por SMS para «cancelar» una operación |
| Duplicado de SIM | Los estafadores piden a tu operadora un duplicado de tu tarjeta SIM | Tu móvil se queda sin cobertura de repente y dejan de llegarte los SMS |
| Bizum inverso | Un comprador de tu anuncio de segunda mano te «envía» el dinero | Tienes que aceptar algo en la app: en realidad es una solicitud de pago |
| Falsa devolución | Un mensaje que dice que te han hecho un Bizum o una transferencia por error | Te piden que lo devuelvas cuanto antes. Aunque el ingreso sea real, puede venir de una cuenta robada: avisa antes a tu banco |
| Compras y alquileres falsos | Un anuncio con un precio muy bueno | Te piden pagar por adelantado por transferencia o Bizum y después desaparecen |
| Falsas entidades | Una web o un anuncio con depósitos o cuentas que pagan mucho más que el resto | La empresa no aparece en el Registro de Entidades del Banco de España |
Los SMS y las llamadas falsas son los más difíciles de detectar. El Banco de España explica que los estafadores pueden hacer que un SMS aparezca con el nombre de tu banco y en la misma conversación que sus mensajes reales (SMS spoofing), y que la pantalla muestre el número de teléfono del banco aunque la llamada venga de otro sitio (caller ID spoofing). Por eso, que el mensaje parezca auténtico no prueba nada: lo que te tiene que hacer sospechar es lo que te piden.
La Orden TDF/149/2025, de 12 de febrero, obliga además a las operadoras a bloquear, entre otras, las llamadas y los SMS que llegan desde el extranjero mostrando un número español (salvo en itinerancia) y, desde el 15 de septiembre de 2026, los SMS que usan como remitente un nombre (alias) que no está inscrito en el Registro de Alias de la CNMC. Ayuda, pero no elimina el problema: sigue sin fiarte de quién parece que te llama o te escribe, sino de lo que te pide (lectura nuestra).
Las falsas entidades merecen una mención especial en una web sobre ahorro. En España solo los bancos, las cajas de ahorros y las cooperativas de crédito pueden recibir depósitos del público. Si una empresa no autorizada te ofrece un depósito y desaparece con el dinero, no te cubre el Fondo de Garantía de Depósitos y no puedes reclamar ante el Banco de España. Antes de contratar, búscala en el Registro de Entidades del Banco de España. Como recuerda el propio Banco de España, si una oferta parece demasiado buena para ser verdad, probablemente no lo sea.
Siete reglas que te protegen de casi todas las estafas
- Tu banco nunca te pedirá tus claves completas ni los datos de tu tarjeta por correo, SMS o teléfono.
- Ningún banco necesita un código para «cancelar» una operación. Si te llega un código por SMS para algo que no has hecho tú, no se lo des a nadie.
- Si te llaman o te escriben, cuelga y llama tú al teléfono que aparece en la app o en la web oficial de tu banco, nunca al que te dan en el mensaje.
- No entres en tu banco desde un enlace de un correo o un SMS. Escribe tú la dirección o usa la app.
- Para recibir un Bizum no hay que aceptar nada. El dinero entra solo. Si la app te pide confirmar, estás a punto de pagar.
- Mira el resultado de la verificación del beneficiario antes de enviar una transferencia. Si el nombre no coincide, para y comprueba.
- Revisa tus movimientos a menudo y activa los avisos de la app, para detectar cualquier cargo raro cuanto antes.
Sobre la sexta regla: desde el 9 de octubre de 2025, los bancos deben ofrecerte gratis la verificación del beneficiario en las transferencias en euros, tanto ordinarias como inmediatas. Antes de enviarla, tu banco te dirá si el nombre que has escrito coincide con el titular de la cuenta de destino, si casi coincide (y te muestra el nombre real), si no coincide o si no se ha podido verificar. Si sigues adelante con un resultado que no coincide o que casi coincide, el banco no responde de que el dinero llegue a otra persona. Más consejos para operar online en la guía sobre cómo abrir una cuenta de ahorro online.
Qué hacer en los primeros minutos si te han estafado
El tiempo cuenta: cuanto antes actúes, menos operaciones podrán hacer los estafadores y más fácil será recuperar el dinero. Este es el orden que tiene sentido según lo que recomienda el Banco de España:
- Bloquea la tarjeta o el acceso a tu banca desde la app. Si no puedes, llama a tu banco: la ley le obliga a tener siempre un medio gratuito para avisar (normalmente, un teléfono). Si no lo tiene, no pagas nada salvo fraude por tu parte.
- Avisa a tu banco de cada operación que no reconozcas. Desde ese aviso, no respondes de las operaciones que se hagan después con una tarjeta o un móvil perdido o robado, salvo fraude por tu parte.
- Cambia tus contraseñas de la banca online y del correo electrónico.
- Guarda las pruebas: capturas de los mensajes, el número que te llamó, la web falsa, los justificantes y la hora de cada cosa. Las necesitarás para denunciar y reclamar.
- Denuncia en la Policía Nacional, la Guardia Civil o el juzgado (en Cataluña, el País Vasco y Navarra también puedes acudir a los Mossos d’Esquadra, la Ertzaintza o la Policía Foral). Muchos bancos piden la denuncia para tramitar la devolución.
- Reclama por escrito al servicio de atención al cliente del banco. Más abajo te explicamos cómo y tienes el texto preparado.
Si tienes dudas sobre lo que te ha pasado, puedes llamar al 017, la línea de ayuda en ciberseguridad de INCIBE. Es gratuita y confidencial y atiende de 8:00 a 23:00 los 365 días del año. También puedes escribir por WhatsApp al 900 116 117.
¿Te tiene que devolver el dinero el banco? Lo que dice la ley
La respuesta depende de una pregunta: ¿autorizaste tú la operación? El Real Decreto-ley 19/2018 de servicios de pago trata de forma muy distinta las operaciones que no autorizaste y las que hiciste tú, aunque fuera engañado.
Si no autorizaste la operación
Es una operación no autorizada y la ley está de tu lado:
- El banco debe devolverte el importe de inmediato y, como tarde, al final del día hábil siguiente a tu aviso, dejando la cuenta como estaba (artículo 45). Solo puede no hacerlo si tiene motivos razonables para sospechar fraude por tu parte y los comunica por escrito al Banco de España. El Tribunal de Justicia de la UE ha confirmado que esa es la única excepción (sentencia de 15 de octubre de 2026, asunto C-70/25).
- Si el banco dice que la autorizaste tú, es él quien tiene que probarlo: debe demostrar que la operación fue autenticada, registrada con exactitud y contabilizada, y que no hubo fallos técnicos. Que registrara el uso de tu tarjeta no basta por sí solo para probar que la autorizaste ni que fuiste negligente (artículo 44). Además, debe facilitarte esa documentación si se la pides.
- Tienes que avisar sin demora en cuanto lo sepas y, como máximo, en 13 meses desde la fecha del cargo (artículo 43).
¿Cuánto puedes perder tú? La ley (artículo 46) lo resume así:
| Situación | Lo que asumes tú |
|---|---|
| Operaciones con una tarjeta, un móvil o unas claves perdidos, robados o de los que se apropió otra persona, hechas antes de avisar | Como máximo 50 € |
| No podías darte cuenta de la pérdida o el robo antes del pago, o el fallo fue del banco o de alguien que trabaja para él | 0 € |
| Compras por internet hechas solo con los datos impresos en tu tarjeta, sin negligencia grave por tu parte y avisando sin demora | 0 € |
| Operaciones hechas después de avisar al banco | 0 € (salvo fraude por tu parte) |
| Tu banco no exigía autenticación reforzada (por ejemplo, un código o tu huella además de la contraseña) | 0 € (salvo fraude por tu parte) |
| Actuaste con fraude o incumpliste, a propósito o por negligencia grave, tus obligaciones (proteger tus claves y avisar sin demora) | Todo, sin límite |
Si diste tus claves o un código a un estafador
Aquí está la mayor parte de los conflictos. Si no diste tu consentimiento a la operación, sigue siendo no autorizada. Pero el banco puede alegar que entregar tus claves fue una negligencia grave y que, por tanto, debes asumir todo. Como hemos visto, la ley pone en el banco la carga de probarlo. Y si no lo prueba, lo máximo que tendrías que asumir son 50 € por lo ocurrido antes de avisar (0 € si tu banco no exigía autenticación reforzada).
Novedad de octubre de 2026: el Tribunal de Justicia de la UE ha resuelto (sentencia de 15 de octubre de 2026, asunto C-70/25, el caso de una clienta que escribió sus claves en una copia falsa de la web de su banco) que el banco no puede negarse a devolver el dinero de inmediato porque considere que el cliente fue gravemente negligente. Primero devuelve y, después, si quiere que asumas la pérdida, tiene que reclamártela y probar esa negligencia grave. La única excepción es que tenga motivos razonables para sospechar un fraude del propio cliente y lo comunique por escrito a la autoridad. La sentencia interpreta la directiva europea que aplica nuestro Real Decreto-ley 19/2018, así que también sirve para reclamar en España (lectura nuestra).
En la práctica, el Banco de España advierte de que, cuando el cliente entregó sus claves de seguridad engañado, es frecuente que las entidades consideren que el cargo estaba formalmente autorizado. Y su Memoria de Reclamaciones de 2025 muestra que, en las reclamaciones por fraude, sus informes suelen dar la razón a la entidad cuando esta acredita que la operación se autenticó correctamente, y al cliente cuando no lo acredita.
Nuestra lectura: aunque hayas dado algún dato, reclama siempre por escrito y pide al banco la documentación que prueba la autenticación. Cada caso es distinto, y si el banco no te da la razón puedes acudir al Banco de España o, en último término, a los tribunales.
Si hiciste tú el pago, pero era un engaño
Es el caso del alquiler que no existía, la compra que nunca llega o el Bizum inverso. El Banco de España considera que son operaciones autorizadas: diste la orden tú, con tus claves. Por eso tu banco no puede anularlas sin el permiso de quien recibió el dinero, y decidir si tu consentimiento estaba viciado por el engaño corresponde a los tribunales, no al Banco de España.
Aun así, avisa a tu banco en cuanto te des cuenta y pídele que contacte con la entidad que recibió el dinero. La ley no le obliga a recuperarlo, pero cuanto antes se intente, más posibilidades hay (esto es lectura nuestra). Y denuncia: es lo que permite investigar y, si se identifica al estafador, reclamarle el dinero.
Si te equivocaste de IBAN
Las transferencias se ejecutan según el IBAN que indicas. Si lo pusiste mal, el banco no responde, pero la ley le obliga a esforzarse razonablemente por recuperar el dinero y, si no lo consigue y se lo pides por escrito, a darte toda la información de que disponga para que puedas reclamar por la vía legal (artículo 59). Puede cobrarte gastos por esa gestión si así lo dice tu contrato. El Banco de España recuerda que, en la práctica, la devolución depende de que el beneficiario la acepte.
Herramienta: qué te corresponde y tu reclamación lista para copiar
Elige lo que te ha pasado, la fecha y el importe. La herramienta te explica qué dice la ley en tu caso, hasta cuándo puedes avisar, cuándo tiene que responderte el banco y te prepara el texto de la reclamación.
Cómo reclamar al banco paso a paso
- Comunica la operación en cuanto la detectes. Muchos bancos tienen un formulario de operaciones no reconocidas y suelen pedir la denuncia. El Banco de España no ve nada que objetar a que la pidan.
- Presenta una reclamación por escrito al servicio de atención al cliente (o al defensor del cliente, si tu banco lo tiene). Guarda el justificante con la fecha. En los servicios de pago, el banco debe responderte en 15 días hábiles; si por causas ajenas a él no puede, debe enviarte una respuesta provisional explicando el retraso, y la definitiva no puede tardar más de un mes (artículo 69 del Real Decreto-ley 19/2018).
- Pide la prueba. Si el banco dice que la operación fue autorizada, solicita la documentación que acredite que fue autenticada y registrada. La ley obliga al banco a conservarla y a facilitártela si se la pides (artículo 44.4 del Real Decreto-ley 19/2018).
- Si no te responde a tiempo o no te da la razón, puedes presentar una reclamación gratuita ante el Banco de España desde su sede electrónica. Sus informes no obligan al banco; si aun así no te devuelve el dinero, queda la vía judicial.
Un detalle que conviene saber: a veces el banco te abona el dinero de forma provisional mientras investiga. Según el Banco de España, debe avisarte antes de que ese abono es provisional, y si después demuestra que la operación se autenticó correctamente puede volver a cargártelo, sin demorarlo tanto que te pille por sorpresa. Los mismos pasos sirven para otros problemas con tu banco; por ejemplo, los aplicamos en la guía sobre cancelar un depósito antes de que venza.
Ejemplos resueltos
Dos casos inventados para ver cómo se aplican las reglas:
| Caso 1: compra por internet que no hiciste | Caso 2: Bizum inverso | |
|---|---|---|
| Qué pasó | Lucía ve un cargo de 300 € en una tienda online. Tiene la tarjeta en la cartera y no ha dado sus datos a nadie | Marcos vende un sofá. El «comprador» le envía una solicitud de 150 € por Bizum y Marcos la acepta pensando que está cobrando |
| ¿Operación autorizada? | No | Sí: la aceptó él |
| Qué dice la ley | El banco debe devolver los 300 € como tarde al final del día hábil siguiente a su aviso, salvo que sospeche fraude y lo comunique al Banco de España | El banco no puede anular el Bizum sin permiso del destinatario. El engaño lo deben valorar los tribunales |
| Lo que puede perder | 0 € (se usaron los datos de la tarjeta, no la tarjeta, y avisó sin demora) | Los 150 €, salvo que se recuperen |
| Qué debe hacer | Bloquear la tarjeta, avisar al banco, denunciar y reclamar por escrito | Avisar al banco de inmediato, denunciar con las capturas del anuncio y del chat, y reclamar por escrito |
Errores frecuentes después de una estafa
- Esperar a ver si se arregla solo. Cada hora cuenta: los estafadores suelen hacer varias operaciones seguidas.
- Llamar al teléfono que venía en el mensaje para «aclararlo». Ese número es de los estafadores.
- Reclamar solo por teléfono. Hazlo también por escrito y guarda el justificante: es lo que cuenta para los plazos.
- No denunciar porque la cantidad es pequeña. La denuncia ayuda en la reclamación y a investigar.
- Dar más datos a quien te ofrece recuperar el dinero. Algunas estafas tienen una segunda parte: alguien se presenta como abogado, policía o empresa de recuperación y te pide un pago por adelantado (esto es lectura nuestra).
- Pensar que el Fondo de Garantía de Depósitos cubre los robos. No: cubre tus depósitos si el banco quiebra, no un fraude en tu cuenta.
Preguntas frecuentes
¿Cuánto tiempo tengo para reclamar un cargo no autorizado?
Debes avisar sin demora en cuanto lo sepas y, como máximo, en 13 meses desde la fecha del cargo. Ese límite no se aplica si el banco no te dio la información de la operación como exige la ley.
¿El banco puede negarse a devolverme el dinero?
Si la operación no la autorizaste tú, debe devolvértela como tarde al final del día hábil siguiente a tu aviso. Solo puede retrasarlo si sospecha razonablemente de un fraude tuyo y lo comunica por escrito al Banco de España. Según el Tribunal de Justicia de la UE (asunto C-70/25), alegar que fuiste negligente no le permite retrasar la devolución: después puede reclamarte la pérdida si demuestra fraude o negligencia grave. Otra cosa es que pruebe que la operación la autorizaste tú: entonces no es una operación no autorizada. Si no estás de acuerdo, reclama por escrito y, después, ante el Banco de España.
¿Se puede anular un Bizum o una transferencia que hice engañado?
Tu banco no puede anularla por su cuenta, porque la autorizaste tú. Lo que sí puede hacer es contactar con el banco del destinatario para intentar recuperar el dinero. Avisa cuanto antes y denuncia.
¿Qué es la verificación del beneficiario?
Un servicio gratuito obligatorio desde el 9 de octubre de 2025 en las transferencias en euros: antes de enviar el dinero, tu banco comprueba si el nombre que escribes coincide con el titular de la cuenta de destino y te avisa si no es así.
¿Me cubre el Fondo de Garantía de Depósitos si me roban dinero de la cuenta?
No. El fondo protege hasta 100.000 € por titular y entidad si el banco no puede devolver los depósitos, no las pérdidas por fraude. Lo explicamos en la guía sobre el Fondo de Garantía de Depósitos.
¿Dónde puedo pedir ayuda si no sé si es una estafa?
En el 017 de INCIBE, gratuito y confidencial, de 8:00 a 23:00 todos los días. Y siempre puedes llamar a tu banco al teléfono que aparece en su app o en su web oficial.
Conclusión
Casi todas las estafas bancarias se apoyan en la prisa y en que seas tú quien entregue un código o haga el pago. Si recuerdas que tu banco nunca te pedirá tus claves ni un código para cancelar nada, y que ante la duda hay que colgar y llamar tú, evitarás la mayoría. Si aun así te pasa, actúa rápido: bloquea, avisa, denuncia y reclama por escrito. Cuando la operación no la autorizaste, la ley obliga al banco a devolverte el dinero salvo que pruebe fraude o negligencia grave (aunque en algunos casos asumes hasta 50 €); cuando la hiciste tú engañado, la vía es más difícil y pasa por la denuncia y, si hace falta, por los tribunales.
Herramienta relacionada: si tienes ahorros en varias entidades, la calculadora del Fondo de Garantía de Depósitos te dice cuánto está cubierto, y la página de herramientas reúne todas las calculadoras.
Lectura relacionada: antes de abrir una cuenta, repasa cómo comparar cuentas de ahorro y comprueba que la entidad está autorizada.
Última revisión: 24 de octubre de 2026 por Adrià.
Escrito por Adrià. Soy el creador de mejorcuentadeahorro.es. No soy asesor financiero: investigo, comparo y explico cuentas de ahorro y depósitos con datos de fuentes oficiales, como el Banco de España, el INE o el Fondo de Garantía de Depósitos. Cada guía muestra su fecha de última revisión.
Conoce más sobre mí y cómo trabajamos.
Fuentes: BOE, Real Decreto-ley 19/2018 de servicios de pago (artículos 41 a 46, 59 y 69), Banco de España, Compendio de criterios de buenas prácticas bancarias (abril de 2026), Banco de España, Memoria de Reclamaciones 2025, Banco de España, pagos con tu tarjeta que no has autorizado, Banco de España, qué hacer si ves un pago que no reconoces, Banco de España, qué es el phishing, Banco de España, vishing, Banco de España, suplantación de SMS y de llamadas, Banco de España, estafas por Bizum, Banco de España, verificación del beneficiario, Banco de España, errores en una transferencia, Banco de España, a quién le confías tu dinero, INCIBE, Tu Ayuda en Ciberseguridad 017, Tribunal de Justicia de la UE, comunicado de prensa 147/26 (asunto C-70/25), Ministerio para la Transformación Digital, medidas contra la suplantación en llamadas y SMS (Orden TDF/149/2025).