El banco tiene que devolverte el dinero de una estafa

El banco tiene que devolverte el dinero de una estafa antes de investigar: lo que ha dicho la justicia europea y cómo reclamarlo

Si alguien usa tus claves para vaciarte la cuenta, el banco tiene que devolverte el dinero como muy tarde al final del día hábil siguiente a tu aviso, y solo después puede investigar si fuiste negligente y reclamártelo. Lo ha dicho el Tribunal de Justicia de la Unión Europea el 15 de octubre, en una sentencia que obliga a todos los bancos de la UE, España incluida. No es una ley nueva: es la interpretación definitiva de una norma que ya existía desde 2018 y que muchos bancos aplicaban al revés (primero investigo, luego decido si devuelvo). Qué cambia, qué estafas cubre y cuáles no, y qué hacer paso a paso. En puntos clave.

Qué ha pasado

• El caso: una mujer en Polonia puso un artículo a la venta en una web de subastas; un falso comprador le mandó un enlace a una página que imitaba a su banco; ella metió sus claves y el estafador consiguió además el código SMS. Le sacaron 3.000 zlotys, unos 705 euros. Avisó al banco y a la policía al día siguiente.
• El banco (PKO BP) se negó a devolver: dijo que ella había sido negligente al entregar sus claves. El asunto llegó al TJUE como cuestión prejudicial (asunto C-70/25).
• El fallo: la directiva europea de pagos obliga a devolver el importe de una operación no autorizada «de inmediato y, como máximo, al final del día hábil siguiente» a la notificación. Esa obligación no tiene ninguna excepción por negligencia del cliente. La negligencia se discute después, y la tiene que probar el banco.
• La única excepción: que el banco tenga «motivos razonables» para sospechar que el fraude lo ha cometido el propio cliente, y lo comunique por escrito a la autoridad (en España, el Banco de España). No vale sospechar en silencio.
• Por qué es importante: hasta ahora muchos bancos usaban el argumento «diste tus claves, luego fuiste negligente» para no devolver nada y obligar al cliente a pelear. Desde ahora el orden es el contrario: primero devuelven, luego pelean ellos.

Lo que ya decía la ley española (y ahora no se puede esquivar)

• Real Decreto-ley 19/2018, de servicios de pago, que trajo a España la directiva europea. Es la norma que el TJUE ha interpretado; no cambia ni una coma, cambia cómo se aplica.
• Tienes 13 meses desde el cargo para comunicar una operación no autorizada (artículo 43). Cuanto antes, mejor, pero el plazo es ese.
• La carga de la prueba es del banco (artículo 44): tiene que demostrar que la operación fue autorizada o que hubo fraude o negligencia grave tuya. Que se usaran tus claves o el código SMS «no basta por sí solo» para presumir que fuiste tú ni que fuiste descuidado, dice la sentencia.
• Devolución al día hábil siguiente (artículo 45), con la excepción de la sospecha de fraude comunicada por escrito al Banco de España.
• Lo que puedes acabar pagando tú (artículo 46): como máximo 50 euros si el fraude viene de un instrumento perdido o robado (una tarjeta) antes de avisar; nada de lo que ocurra después de avisar; y todo, solo si el banco prueba que actuaste con fraude o negligencia grave.
• El Supremo ya iba por ahí: en la sentencia 571/2025, de 9 de abril, obligó a Ibercaja a devolver 56.474 euros de quince transferencias y Bizum no autorizados, porque el banco no demostró negligencia grave ni detectó operaciones claramente anómalas. El TJUE convierte esa línea en obligatoria para todos.

Qué estafas cubre y cuáles no

La sentencia habla de operaciones no autorizadas: alguien operó con tus claves sin tu consentimiento. Si la transferencia la ordenaste tú, aunque fuera engañado, es una operación autorizada y el régimen es distinto. Esa es la frontera que decide cada caso.

El tamaño del problema

• 4.200 millones de euros de pagos fraudulentos en el Espacio Económico Europeo en 2024, un 17% más que en 2023, en 19,6 millones de operaciones: 2.500 millones en transferencias y 1.300 en tarjetas (informe BCE-EBA).
• En España, el fraude ya es la primera causa de reclamación ante el Banco de España: en torno al 28% de los 10.856 expedientes admitidos en 2025. Y el supervisor dio la razón al cliente, total o parcialmente, en más de la mitad de los casos; los bancos rectificaron en el 79% de los informes contrarios.
• 6,8 millones de euros devueltos a clientes por mediación del Banco de España en 2025, récord y un 34% más que en 2024, con una media de 625 euros por expediente. Son solo los casos que llegan al supervisor; la mayoría se resuelve (o no) en el banco.
• 1.000 millones de euros: lo que fuentes financieras estiman (vía Cinco Días) que podrían alcanzar las reclamaciones en España tras la sentencia. Es la razón de que la banca hable de «anticipo» millonario.

Qué hacer si te estafan, paso a paso

• 1. Avisa al banco en el momento, por el canal que deje rastro (app, teléfono con número de incidencia, correo). Pide que bloqueen las claves y la tarjeta. La hora del aviso importa: desde ese momento nada de lo que pase es responsabilidad tuya.
• 2. Denuncia en la Policía o la Guardia Civil, con capturas de los SMS, correos, webs y movimientos. El banco te la pedirá.
• 3. Reclama por escrito al banco citando el artículo 45 del Real Decreto-ley 19/2018 y la sentencia del TJUE de 15 de octubre de 2026 (asunto C-70/25): devolución al final del día hábil siguiente. Guarda el acuse.
• 4. Si no devuelve en ese plazo, reclamación al Servicio de Atención al Cliente del banco (tiene 15 días hábiles para contestar en materia de pagos) y, si no responde o responde que no, al Banco de España.
• 5. Si el banco te reclama después el dinero alegando negligencia grave, es él quien tiene que probarla ante un juez: que fuiste tú quien dio las claves no basta. Caer en una web idéntica a la del banco no es, por sí solo, negligencia grave.
• 6. Lo que no debes hacer: esperar a ver si «aparece» el dinero, firmar un documento del banco reconociendo negligencia, ni aceptar una devolución parcial «de buena voluntad» sin reservarte el derecho al resto.

Puntos a favor

• Acaba con el «primero investigo, luego devuelvo» que dejaba al cliente meses sin su dinero y con la carga de pelear.
• Da a los bancos un incentivo real para detectar el fraude: si pagan primero, les interesa que los sistemas de alerta paren transferencias anómalas antes de que salgan.
• Es ley en toda la UE desde ya: no hay que esperar a que España apruebe nada; los juzgados y el Banco de España la aplican directamente.
• Deja claro que el SMS o la autenticación reforzada no prueban nada por sí solos. Era el argumento favorito de los bancos.

Puntos en contra y límites

• No cubre las estafas en las que pagas tú. Y son las que más crecen: el falso hijo, el falso inversor, el falso técnico. Para esas sigue sin haber devolución automática.
• «Devolver primero» no es «devolver para siempre»: el banco puede ir después a los tribunales si cree que fuiste gravemente negligente. Con la doctrina del Supremo lo tiene difícil, pero puede.
• La excepción de la «sospecha razonable» puede convertirse en coladero si los bancos empiezan a comunicar sospechas al Banco de España de forma sistemática para ganar tiempo. Habrá que ver cómo lo vigila el supervisor.
• Coste para el sistema: si las reclamaciones rondan los 1.000 millones, los bancos lo repercutirán donde puedan: más fricción en las transferencias (límites, retrasos de 24 horas, llamadas de confirmación) y, quizá, en comisiones.
• No evita la estafa: recuperas el dinero, pero el estafador sigue cobrando de alguien. La prevención sigue siendo lo único que de verdad funciona.

Dónde se nota

• Si te estafaron en los últimos 13 meses con tus claves robadas y el banco no te devolvió: puedes reclamar ahora citando la sentencia. El plazo cuenta desde el cargo.
• Si tienes una reclamación abierta en el banco o en el Banco de España: añade la sentencia al expediente.
• En las apps de los bancos: esperad más avisos, límites y retrasos en transferencias a cuentas nuevas. Es el precio de que paguen ellos primero.
• En los neobancos con sede fuera de España (Revolut, N26, Trade Republic): la sentencia también les obliga, pero la autoridad a la que deben comunicar la sospecha y el supervisor al que reclamar son los de su país de origen (Lituania, Alemania), no el Banco de España.

Fuentes: sentencia del Tribunal de Justicia de la Unión Europea de 15 de octubre de 2026, asunto C-70/25, sobre los artículos 72, 73 y 74 de la Directiva (UE) 2015/2366 de servicios de pago; Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago (artículos 43 a 46); sentencia del Tribunal Supremo 571/2025, de 9 de abril; Memoria de Reclamaciones 2025 del Banco de España (21 de julio de 2026); informe conjunto del BCE y la EBA sobre fraude en pagos (datos de 2024); Cinco Días, vía Infobae (22 de octubre de 2026); Law&Trends (comentario del abogado Ignacio Javier Pérez Fernández); Que.es (16 de octubre) y El Confidencial Digital (24 de octubre). La estimación de 1.000 millones de euros en reclamaciones procede de fuentes financieras citadas por la prensa, no de una cifra oficial. Este artículo tiene una finalidad exclusivamente informativa y educativa; no constituye asesoramiento legal ni financiero. Para un caso concreto, conviene consultar a un abogado.