Estafa por SMS del banco (smishing): qué hacer si pinchaste el enlace y cómo recuperar el dinero
Estafa SMS del banco: qué hacer si metiste tus claves, por qué llegó en el hilo real de tu banco y cuándo debe devolverte el dinero. Con modelo.
Llamada falsa del banco: qué hacer si te engañaron por teléfono y cuándo te devuelven el dinero
Si has recibido una llamada falsa del banco y han salido operaciones de tu cuenta, cuelga, llama tú al teléfono oficial de tu banco y bloquea el acceso. Que en la pantalla apareciera el número real del banco y que dictaras un código no te quita, por sí solo, el derecho a reclamar: la ley obliga al banco a probar tu negligencia grave.
Respuesta rápida
Ante una llamada falsa del banco: cuelga, llama tú al número oficial, bloquea tarjetas y banca online y pide por escrito la devolución de lo que no autorizaste. El banco debe devolver lo no autorizado como tarde al final del día hábil siguiente, salvo que pruebe fraude o negligencia grave tuya. Dictar un código no equivale automáticamente a negligencia grave.
Estas llamadas las preparan profesionales: saben tu nombre, a veces tus últimos movimientos, y suenan como tu gestor. Caer no dice nada malo de ti. Ahora importa lo que hagas en las próximas horas y cómo lo documentes.
¿Te han vaciado la cuenta tras una llamada del «banco»?
Cuéntanos qué pasó y qué te ha respondido el banco. Revisamos gratis si la operación se puede tratar como no autorizada y preparamos la reclamación.
Revisión gratuita · Sin pago inicial · Solo cobramos si hay resultado favorable
Llamada falsa del banco: qué hacer hoy
1. Cuelga y llama tú al teléfono de la web oficial de tu banco, de su app o del reverso de tu tarjeta. Nunca al número que te llamó ni al que te den por SMS.
2. Bloquea tarjetas, banca online y Bizum, y pide que anulen los dispositivos de confianza que no reconozcas.
3. Pide que intenten retener o recuperar las transferencias en curso. En las inmediatas, depende de que el banco receptor congele el dinero a tiempo.
4. Notifica por escrito (app, correo del servicio de atención al cliente u oficina con sello) que no autorizaste esas operaciones y pides su devolución.
5. Haz capturas del registro de llamadas (número, hora y duración), de los SMS y de los movimientos. No borres nada.
6. Denuncia en Policía Nacional, Guardia Civil o juzgado. No es un requisito legal para reclamar al banco, pero conviene adjuntarla.
El checklist completo, con el guion para la llamada al banco, está en qué hacer si te han robado dinero de la cuenta.
«Sin demora» significa hoy. El plazo máximo de 13 meses del art. 43 del Real Decreto-ley 19/2018 no es un colchón: el Tribunal de Justicia de la UE (asunto C-665/23, 1 de agosto de 2025) admite que pierdas el derecho a la devolución si avisas tarde sin justificación, aunque no hayan pasado 13 meses.
¿Cómo es posible que en la pantalla saliera el número de mi banco?
Se llama spoofing telefónico: el estafador manipula el identificador de la llamada y tu móvil muestra el número del banco, incluso con el nombre que tienes guardado en la agenda. No necesita entrar en el banco para hacerlo.
La Orden TDF/149/2025, de 12 de febrero, obliga a las operadoras a cortar buena parte de este truco. Sus medidas sobre llamadas se aplican desde junio de 2025:
Medida de la Orden TDF/149/2025 | Qué implica para ti |
|---|---|
Bloquear llamadas desde el extranjero que muestran un número español, salvo itinerancia | La llamada «del banco» que en realidad sale de otro país no debería llegarte |
Bloquear llamadas sin número o con numeración inexistente o no asignada | Las llamadas con números inventados deben cortarse |
Prohibido usar números móviles para atención al cliente o llamadas comerciales | Si «tu banco» te llama desde un 6xx o 7xx, sospecha |
La orden reduce el spoofing, pero no cierra todas las vías, y el estafador también llama desde números corrientes o por WhatsApp. Para tu reclamación importa otra cosa: haber visto el número real del banco ayuda a probar que el engaño era difícil de detectar, así que conserva la captura. La Audiencia Provincial de Cantabria (Secc. 4.ª, 220/2026, de 14 de abril) dio la razón al banco, entre otras razones, porque el cliente no acreditó que la llamada viniera del número real.
Los guiones más usados en la estafa telefónica del banco (vishing)
Vishing es la estafa por voz: te llaman haciéndose pasar por tu banco para que hagas o autorices algo. Suele empezar con un SMS que te asusta y te invita a llamar, o con una llamada directa.
Lo que te dicen | Lo que te piden | Lo que pasa en realidad |
|---|---|---|
«Hemos detectado un cargo sospechoso; para anularlo, díganos el código que le llega» | El código del SMS (OTP) | El código confirma una transferencia o un pago del estafador |
«Su cuenta está comprometida; pase el dinero a una cuenta segura» | Que hagas tú una transferencia o un Bizum | Envías el dinero a una cuenta del estafador |
«Instale esta app para que le ayudemos» | Descargar una app de control remoto | Ven tu pantalla y operan desde tu móvil |
«Tiene un préstamo solicitado a su nombre; vamos a cancelarlo» | Tus claves y los códigos | Contratan el préstamo preconcedido y lo transfieren |
INCIBE avisó el 30 de septiembre de 2025 de SMS que suplantaban a bancos con textos como «Se ha realizado un cargo por importe de XXXXEUR, si no reconoce este cargo, llame de inmediato». Quien llama habla con el estafador. Si todo empezó por un mensaje, lee también qué hacer ante un SMS falso del banco.
Dicté el código por teléfono: ¿la operación está autorizada o no?
Operación no autorizada es la que no consentiste. Si dictaste un código creyendo que servía para bloquear un cargo y el estafador lo usó para una transferencia que desconocías, hay base para defender que esa transferencia no la consentiste. Se aplica el Real Decreto-ley 19/2018 de servicios de pago:
- Art. 44: el banco debe probar que la operación se autenticó y registró bien y que no hubo fallo del servicio. Según el art. 44.2, el simple registro del uso de tus credenciales no basta para probar que la autorizaste ni que fuiste gravemente negligente.
- Art. 45: debe devolverte el importe de inmediato y, como tarde, al final del día hábil siguiente al aviso, salvo sospecha razonable de fraude tuyo comunicada por escrito al Banco de España.
- Art. 46: solo pierdes la protección si hubo fraude o negligencia grave, y eso lo tiene que demostrar el banco.
Operación autorizada es la que ordenaste tú, aunque fuera bajo engaño: por ejemplo, cuando el falso gestor te convence para hacer tú la transferencia a una «cuenta segura». El banco dirá que cumplió tu orden. Queda la vía de la falta de controles del banco, que explicamos en transferencia fraudulenta.
Qué miran los jueces cuando dictaste el código
Factor | Juega a tu favor | Juega en tu contra |
|---|---|---|
La llamada | Salía el número del banco y lo puedes probar | No hay prueba de la llamada |
El SMS con el código | No decía qué operación confirmabas | Decía «transferencia de X € a ES…» y no lo leíste |
Avisos del banco | No los hubo o eran genéricos | Te advirtieron de esta estafa y seguiste |
Tu reacción | Avisaste en minutos u horas | Tardaste días |
Las operaciones | Anómalas y sin que el banco frenara nada | Parecidas a tus operaciones habituales |
A favor del cliente, la Audiencia Provincial de Jaén (Secc. 1.ª, 133/2026, de 29 de enero) condenó al banco en un fraude con SMS y llamada verosímiles, con denuncia inmediata, y la de Cáceres (Secc. 1.ª, 30/2026, de 27 de enero) descartó la negligencia grave de quien facilitó sus claves bajo engaño, porque detectarlo exigiría una «pericia técnica excepcional». En contra, la de Pontevedra (Secc. 1.ª, 437/2025, de 19 de septiembre) la apreció en quien facilitó los códigos cuando el banco aplicó autenticación reforzada. El repaso completo está en cuándo hay negligencia grave en el phishing.
Ejemplo orientativo
Te llaman desde el número de tu banco, te leen tus últimos movimientos y te piden el código «para cancelar» un cargo de 2.400 €. Lo dictas y salen 2.400 €, de madrugada, a una cuenta que nunca habías usado. Hay base para defender que no autorizaste esa operación. Si el SMS decía «transferencia de 2.400 € a ES…», el banco lo usará en tu contra y la reclamación tendrá que apoyarse más en su falta de vigilancia.
¿Me devuelve el banco el dinero de una llamada falsa? Lo que dicen los tribunales
La sentencia de referencia es la STS 571/2025, de 9 de abril (Sala Primera, ECLI:ES:TS:2025:1671), que confirmó la condena a Ibercaja a devolver 56.474,63 € más intereses y costas a un cliente víctima de duplicado de SIM y phishing. Sus criterios valen para las llamadas: la responsabilidad del banco es «cuasi objetiva», usar códigos SMS no prueba que autorizaras la operación, un fraude sofisticado no equivale sin más a negligencia grave y el banco también responde si no vigila operaciones anómalas o no reacciona a tus avisos.
Para la llamada en la que la víctima hace ella misma la transferencia hay un precedente útil: el Juzgado de Primera Instancia n.º 8 de Murcia condenó a BBVA a devolver 5.977 € más intereses (nota del CGPJ de 26 de septiembre de 2025). La clienta recibió llamadas y mensajes que simulaban venir del banco y transfirió a una supuesta cuenta a su nombre. El juez rechazó la negligencia porque el engaño era «tan completo en su apariencia de autenticidad» y reprochó al banco sus controles y su lentitud ante la petición de bloqueo. Es recurrible: sirve como argumento, no como garantía.
No todas se ganan. Cuando faltan pruebas, el cliente ignoró avisos concretos o la llamada era poco creíble, los tribunales han dado la razón al banco. Por eso el primer escrito tiene que estar bien preparado.
Dictaste el código y el banco dice que fue culpa tuya
Es la respuesta más habitual, no la última palabra. Revisamos tu llamada, los SMS y las operaciones, y te decimos con franqueza si hay base para reclamar.
Sin pago inicial · Solo cobramos si hay resultado favorable · Te decimos si no merece la pena
Cómo reclamar al banco tras una estafa telefónica
1. Escrito al servicio de atención al cliente del banco. En servicios de pago debe contestar en 15 días hábiles (hasta un mes en casos excepcionales, art. 69).
2. Si no contesta o lo rechaza, puedes ir al Banco de España. Su informe no es vinculante y, según su Memoria de Reclamaciones de 2025, suele dar la razón al banco cuando este acredita «correcta autenticación y registro».
3. Vía judicial si no hay acuerdo. Desde el 3 de abril de 2025 hay que intentar antes una solución extrajudicial, y la reclamación previa al banco cumple ese requisito en consumo. Hasta 2.000 € no es obligatorio abogado ni procurador.
En el escrito, pide los registros de autenticación: dispositivo, IP, hora y texto del SMS enviado. Si el banco no los aporta, no puede probar lo que el art. 44 le exige.
A la atención del Servicio de Atención al Cliente de [nombre del banco]
[tu nombre y apellidos], con DNI [número], titular de la cuenta [IBAN], comunico lo siguiente:
1.
El [fecha], a las [hora], recibí una llamada desde el número [número que apareció en pantalla] ([coincide / no coincide] con el de esta entidad), de una persona que se identificó como empleado de [nombre del banco]. Adjunto captura del registro de llamadas.
2.
Siguiendo sus indicaciones, que presentó como medidas de seguridad, [describe lo que hiciste: facilité un código recibido por SMS / instalé una aplicación / otro]. No consentí en ningún momento las operaciones que se detallan a continuación.
3.
Operaciones no autorizadas: [fecha, hora, importe y destino de cada una].
4.
Avisé a la entidad el [fecha] a las [hora] por [teléfono, app, oficina].
SOLICITO
a)
La devolución inmediata de [importe total] €, conforme al art. 45 del Real Decreto-ley 19/2018, y el restablecimiento de mi cuenta al estado anterior.
b)
Copia de los registros de autenticación de cada operación (dispositivo, dirección IP, hora, canal y texto literal de los SMS enviados), recordando que, según el art. 44.2, el registro del uso de las credenciales no basta para acreditar la autorización ni mi negligencia grave.
c)
Que se me informe de las gestiones realizadas para retener o recuperar los fondos en la entidad de destino.
Adjunto: denuncia de [fecha], capturas de la llamada y de los SMS, extracto de movimientos.
En [ciudad], a [fecha].
Firma: [tu nombre]
La versión larga, con la reclamación al Banco de España y todos los plazos, está en el modelo de reclamación al banco por fraude.
Voces clonadas con IA: cuando la llamada ya no suena falsa
La inteligencia artificial imita una voz con unos segundos de audio. Un análisis publicado en Confilegal el 28 de agosto de 2026 explica que esta síntesis reproduce «timbre, acento y entonación» y elimina las señales clásicas de sospecha. Se usa de dos formas:
- La voz de un familiar («mamá, he tenido un accidente, hazme un Bizum»). Envías tú el dinero, así que es una operación autorizada y reclamar al banco es difícil. Lo explicamos en estafa por Bizum.
- La voz de un «empleado» o de tu gestor. Si acaba con el estafador operando con tus códigos, se aplica lo que has leído arriba: operación no autorizada y prueba a cargo del banco.
Pacta una palabra clave con tu familia para emergencias y cuelga ante cualquier urgencia de dinero. No hemos localizado aún sentencias españolas sobre voces clonadas, pero la sofisticación del engaño es justo lo que los tribunales valoran para descartar la negligencia grave.
Lo que viene: reglamento europeo de pagos y Tribunal de Justicia de la UE
Dos cambios pueden mejorar tu posición, pero ninguno está en vigor a 23 de septiembre de 2026:
- Reglamento europeo de Servicios de Pago (PSR). Hubo acuerdo provisional el 27 de noviembre de 2025, pero no se ha publicado en el Diario Oficial de la UE. Según el texto pactado, si un estafador se hace pasar por tu banco y te convence para pagar, el banco tendría que reembolsarte en 15 días hábiles desde que le notifiques el fraude y le entregues la denuncia policial, salvo motivos objetivos para sospechar fraude o negligencia grave tuya. Se aplicaría unos 21 meses después de publicarse.
- Asunto C-70/25 del Tribunal de Justicia de la UE. El abogado general propuso el 5 de marzo de 2026 que el banco devuelva primero, aunque alegue negligencia grave, y discuta después. Las conclusiones no vinculan y la sentencia sigue pendiente.
Mientras tanto se reclama con la ley actual, que ya pone la prueba en el banco.
Cuánto te cuesta que lo reclamemos y cuándo no merece la pena
Hacemos la reclamación extrajudicial frente a tu banco. Revisión gratuita y sin pago inicial. Solo cobramos si hay resultado favorable: 20 % de lo que recuperes + 60 € (+ IVA) en la modalidad estándar; los importes bajos tienen una escala específica que te explicamos antes de empezar. Por ejemplo, si recuperas 3.000 €, pagas 660 € + IVA; si no recuperas nada, no pagas.
Si te han quitado 120 € y el banco aún no ha respondido, prueba tú primero con el modelo de arriba. Encajamos mejor cuando el importe es alto, cuando el banco ya lo ha rechazado o cuando además te han contratado un préstamo a tu nombre (lo tratamos en préstamo contratado por un estafador). Si hubiera que ir a juicio, sería un encargo aparte que solo empezaría si tú lo aceptas. Tienes el panorama general en la guía de fraude bancario y el de todas las reclamaciones en cómo reclamar al banco.
Tu banco te ha dicho que no. Lo revisamos gratis
Mándanos su respuesta, las capturas de la llamada y los movimientos. Te decimos qué se puede reclamar, cuánto y en qué condiciones antes de empezar.
Revisión gratuita · Sin pago inicial · 20 % de lo que recuperes + 60 € (+ IVA)
Preguntas frecuentes sobre llamadas falsas del banco
Me llaman del banco Santander, Sabadell o BBVA: ¿cómo sé si es una estafa?
Da igual la entidad: ningún banco te pedirá por teléfono códigos SMS, el PIN o que muevas dinero a otra cuenta. Aunque en pantalla salga su número real, cuelga y llama tú al teléfono de su web o de tu tarjeta. Si la llamada viene de un móvil, desconfía: desde junio de 2025 no se pueden usar números móviles para atención al cliente.
¿Qué hago si solo di mis datos pero no me han quitado dinero?
Llama a tu banco por su número oficial y bloquea la banca online y las tarjetas. Cambia las claves desde un dispositivo seguro, revisa si hay dispositivos de confianza o préstamos preconcedidos que no reconoces y deja constancia escrita del aviso. Guarda la captura de la llamada: si aparecen cargos días después, habrás avisado a tiempo.
¿Es obligatorio poner denuncia para que el banco me devuelva el dinero?
No. El Real Decreto-ley 19/2018 solo exige que avises al banco sin demora. Aun así, denuncia en Policía, Guardia Civil o juzgado y adjúntala: es una prueba útil, los bancos suelen pedirla y el futuro reglamento europeo de pagos la exigiría para el reembolso cuando el estafador se hace pasar por el banco.
¿Cómo se denuncia el spoofing telefónico?
Con la denuncia ante la Policía o la Guardia Civil, aportando capturas del registro de llamadas con el número que apareció, la hora y la duración. Avisa también al banco suplantado por escrito. Si la llamada llegó con un número español pero sospechas que venía del extranjero, menciónalo: desde junio de 2025 las operadoras deben bloquear esas llamadas.
Spoofing telefónico: ¿cómo lo resuelvo si están usando mi número para llamar a otros?
Tú no lo has provocado y no puedes bloquearlo desde el móvil. Comunícalo por escrito a tu operadora y pide que registre la incidencia, avisa a tus contactos de que no respondan a llamadas raras «tuyas» y guarda las quejas que recibas. Si hay perjuicio o amenazas, denuncia. El 017 de INCIBE te orienta gratis de 8:00 a 23:00.
¿Qué pasa si el falso empleado me hizo instalar una aplicación en el móvil?
Desconecta el móvil de internet, no lo restaures de fábrica (borrarías pruebas) y llama a tu banco desde otro teléfono. Lo que el estafador hiciera controlando tu móvil a distancia no lo autorizaste tú. El banco alegará que instalaste la aplicación; por eso importa conservar el registro de la llamada y cualquier mensaje que te convenciera de que era una herramienta de seguridad del propio banco.
Más artículos
Negligencia grave en phishing: qué dicen el Supremo y las Audiencias (sentencias 2025-2026) y cómo rebatir al banco
Negligencia grave en phishing: qué dijo el Supremo (STS 571/2025), 11 sentencias de Audiencias a favor y en contra y cómo responder al banco.
Reclamación al Banco de España por phishing y carta al banco: modelos para copiar y todos los plazos
Reclamación al Banco de España por phishing y carta al banco: dos modelos para copiar, con petición de registros de autenticación, y todos los plazos.