Estafa por SMS del banco (smishing): qué hacer si pinchaste el enlace y cómo recuperar el dinero
Estafa SMS del banco: qué hacer si metiste tus claves, por qué llegó en el hilo real de tu banco y cuándo debe devolverte el dinero. Con modelo.
SIM swapping (duplicado de SIM): qué hacer y cómo reclamar al banco y a la operadora
El SIM swapping es la estafa en la que alguien consigue un duplicado de tu tarjeta SIM, recibe tus SMS de seguridad y vacía tu cuenta. Si te ha pasado, el banco tiene que devolverte las operaciones que no autorizaste, y la operadora que entregó el duplicado sin comprobar quién lo pedía también puede tener que responder.
Respuesta rápida
Si te duplicaron la SIM y operaron en tu banca, esas operaciones no las autorizaste: el banco debe devolverlas como tarde al final del día hábil siguiente a tu aviso y solo se libra si prueba negligencia grave tuya. Es el caso que resolvió el Supremo en la STS 571/2025 contra Ibercaja. A la operadora se le reclama por separado.
Si lo que te han clonado es la tarjeta del banco y no la del móvil, la guía que necesitas es la de tarjeta clonada o robada.
¿Qué es el SIM swapping y cómo te vacían la cuenta?
El nombre inglés significa «cambio de SIM». Normalmente no hay una clonación técnica de tu tarjeta, sino algo más sencillo: el estafador se hace pasar por ti ante tu operadora y consigue que le entregue una SIM nueva, física o eSIM, con tu número. En ese momento la tuya deja de funcionar. El esquema típico tiene cuatro pasos:
1. Consiguen tus datos: nombre, DNI, dirección y, muchas veces, las claves de tu banca, con un SMS o un correo falso, una filtración o datos que publicaste.
2. Piden el duplicado en una tienda, por teléfono o por internet, con documentación falsa o con tus datos.
3. Tu móvil se queda sin línea y los SMS del banco empiezan a llegarles a ellos.
4. Operan en tu banca: dan de alta un dispositivo nuevo, confirman transferencias con los códigos que reciben, crean tarjetas virtuales o incluso contratan un préstamo a tu nombre.
Todo suele ocurrir en pocas horas, a menudo de noche o en fin de semana, cuando tardas más en darte cuenta.
¿Cómo saber si me han clonado la tarjeta SIM?
Las señales que deben ponerte en alerta, sobre todo si aparecen juntas:
- El móvil muestra «Sin servicio» o «Solo llamadas de emergencia» de repente, en un sitio donde siempre tienes cobertura, y no se arregla al reiniciarlo.
- Recibes un SMS o un correo de tu operadora sobre un duplicado, un cambio de SIM, la activación de una eSIM o una portabilidad que no has pedido.
- WhatsApp u otras apps te cierran la sesión o te piden verificar de nuevo tu número.
- Te llegan avisos del banco de un nuevo dispositivo, un cambio de claves, el alta de una tarjeta o una operación.
- Tus contactos reciben mensajes tuyos que no has enviado.
Un corte de cobertura aislado suele ser una avería. Compruébalo rápido: pregunta a alguien de la misma operadora o mira si hay incidencias. Pero si la línea cae y a la vez te llega cualquiera de los otros avisos, actúa como si fuera un SIM swapping.
Qué hacer si me han clonado la tarjeta SIM: la primera hora
El orden importa, porque mientras tengan tu número pueden seguir recibiendo códigos.
1. Llama a tu operadora desde otro teléfono (de un familiar o un fijo). Pide que desactive de inmediato la SIM que está funcionando con tu número, que te den una nueva en tienda con tu DNI y un número de incidencia.
2. Llama al banco al número oficial y pide el bloqueo de la banca online, de las tarjetas y de los dispositivos dados de alta. Si hay transferencias recientes, pide que soliciten su retrocesión al banco de destino.
3. Cambia la contraseña de tu correo desde un dispositivo seguro. Con el correo y tu número, pueden restablecer casi todas tus cuentas.
4. Revisa si han contratado algo a tu nombre: préstamos, créditos preconcedidos, tarjetas virtuales. Si es así, lee la guía de préstamo contratado por un estafador desde tu banca.
5. Comunica por escrito al banco cada operación que no hiciste y pide su devolución citando el art. 45 del Real Decreto-ley 19/2018. Pide también los registros de autenticación.
6. Denuncia en la Policía Nacional, la Guardia Civil o el juzgado. La ley no condiciona la devolución a la denuncia, pero es recomendable: los bancos la piden y es la mejor prueba de la fecha en que reaccionaste.
7. Reclama a la operadora por escrito (tienes un modelo más abajo) y guarda capturas de todo: la pantalla sin servicio, los SMS, los correos y el registro de llamadas.
Te han duplicado la SIM y han vaciado tu cuenta
Revisamos gratis lo que ha pasado, qué operaciones tiene que devolverte el banco y si la operadora también debe responder. Nos pasas los movimientos y lo que tengas, y te decimos qué se puede hacer.
Revisión gratuita · Sin pago inicial · Solo cobramos si hay resultado favorable
Si necesitas ayuda técnica para asegurar tus cuentas, el 017 del INCIBE atiende gratis de 8:00 a 23:00 todos los días (también por WhatsApp en el 900 116 117). Es un canal de ayuda, no de denuncia. El checklist completo para cuando han salido transferencias de tu cuenta está en la guía de qué hacer si te han robado dinero de la cuenta.
¿Me devuelve el banco el dinero? La sentencia del Supremo sobre SIM swapping
Sí, como regla general. Las operaciones que hace el estafador con tu número duplicado son operaciones no autorizadas, y se aplica el régimen del Real Decreto-ley 19/2018:
- El banco debe devolverlas «de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente» a tu aviso (art. 45.1).
- Le corresponde a él probar que las operaciones se autenticaron y que no hubo deficiencia en su servicio (art. 44.1), y que tú cometiste «fraude o negligencia grave» (art. 44.3).
- Su registro de que se usaron tus códigos «no bastará, necesariamente» para demostrar que autorizaste las operaciones (art. 44.2).
Qué dijo la STS 571/2025
La sentencia 571/2025 del Tribunal Supremo, de 9 de abril (Sala Primera), es la referencia en España y trata precisamente un caso de duplicado de SIM combinado con phishing. Los hechos:
- Cliente de Ibercaja. Los días 17 y 18 de marzo de 2021 se hicieron 15 transferencias por 83.692,73 € desde su cuenta.
- El banco recuperó 27.218,10 €. Quedaban 56.474,63 €.
- El cliente había avisado al banco tres semanas antes de que recibía SMS sospechosos.
- El Supremo desestimó el recurso de Ibercaja y confirmó la condena a pagar los 56.474,63 € más intereses y costas.
Lo que dejó establecido, y que sirve para cualquier caso de SIM swapping:
1. La responsabilidad del banco es «cuasi objetiva»: responde de las operaciones no autorizadas salvo que pruebe fraude o negligencia grave del cliente.
2. Que se usaran los códigos enviados por SMS no prueba que autorizaras las operaciones. Precisamente, en un SIM swapping esos códigos los recibe el estafador.
3. Que un tercero acceda con un fraude sofisticado no equivale sin más a negligencia grave del cliente.
4. La deficiencia del servicio incluye la falta de vigilancia de operaciones anómalas y la pasividad ante los avisos del cliente.
Esa sentencia se ha convertido en la base de la mayoría de las reclamaciones. El análisis de cómo la aplican las Audiencias, con casos que gana el cliente y casos que gana el banco, está en la guía de negligencia grave en el phishing.
Qué te dirá el banco y qué responder
Lo que alega el banco | Qué puedes responder |
|---|---|
«Las operaciones se confirmaron con el código que enviamos a su móvil» | En un SIM swapping ese código lo recibe el estafador. El registro no prueba tu autorización (art. 44.2 y STS 571/2025) |
«Usted facilitó sus claves» | Si te las sacaron con un engaño elaborado, eso no es sin más negligencia grave, y la prueba es del banco (art. 44.3) |
«Enviamos avisos de seguridad a todos los clientes» | Una advertencia genérica no demuestra por sí sola que fueras gravemente negligente: esa prueba sigue siendo del banco (art. 44.3) |
«No detectamos nada anómalo» | Un dispositivo nuevo y varias transferencias seguidas a destinatarios nuevos en pocas horas pueden ser operaciones anómalas; no vigilarlas es deficiencia del servicio (STS 571/2025) |
«Usted avisó tarde» | Si avisaste en cuanto te diste cuenta, cumpliste. El plazo máximo es de 13 meses, sin demora injustificada (art. 43.1) |
¿Y la operadora? Cómo reclamar también por el duplicado de la SIM
Aquí está la segunda mitad de la reclamación, la que casi nadie hace. La operadora entregó tu número a otra persona. Si no comprobó bien su identidad, incumplió sus obligaciones contigo.
Hay condenas y sanciones. Un juzgado de Plasencia condenó de forma solidaria a Vodafone e Ibercaja a devolver 22.833 € a una víctima de SIM swapping, según publicó Xataka en noviembre de 2025: a la operadora, por no identificar a quien pidió el duplicado; al banco, por no tener medidas de protección frente a un fraude conocido. Y en 2022 la Agencia Española de Protección de Datos impuso multas por un total de 5,6 millones de euros a varias operadoras (Vodafone, Orange, Telefónica y Xfera) por entregar duplicados de SIM sin verificar la identidad.
Frente al banco | Frente a la operadora | |
|---|---|---|
Qué pides | La devolución de las operaciones que no autorizaste | Información sobre el duplicado y la indemnización del daño que causó entregarlo sin verificar la identidad |
Base | Arts. 43 a 46 del Real Decreto-ley 19/2018 y STS 571/2025 | Incumplimiento de sus obligaciones contractuales (arts. 1101 y siguientes del Código Civil) y normativa de protección de datos |
Primer paso | Aviso sin demora y reclamación al servicio de atención al cliente (15 días hábiles para responder) | Reclamación a su servicio de atención al cliente (un mes para responder) |
Segundo paso | Banco de España (su informe no es vinculante) | Oficina de Atención al Usuario de Telecomunicaciones (tres meses para acudir; resuelve en seis) y, por los datos, la Agencia Española de Protección de Datos |
Si no hay acuerdo | Demanda | Demanda; se puede demandar a los dos a la vez |
Dos matices honestos. La Agencia de Protección de Datos puede sancionar a la operadora, pero su sanción no te devuelve el dinero. Y la Oficina de Atención al Usuario de Telecomunicaciones resuelve reclamaciones de personas físicas, autónomos y microempresas sobre el servicio, con resolución obligatoria para el operador; para recuperar el dinero robado, lo realista es reclamarlo al banco y, si procede, a la operadora por acuerdo o en los tribunales.
A la atención de [nombre de la operadora], servicio de atención al cliente.
Yo, [tu nombre y apellidos], con DNI [número], titular de la línea [número de teléfono] con el contrato o número de cliente [número], expongo:
1.
El [fecha], hacia las [hora], mi línea dejó de funcionar sin que yo hubiera solicitado ningún cambio. Posteriormente he sabido que se emitió un duplicado de mi tarjeta SIM (o eSIM) a favor de una persona que no era yo.
2.
Con ese duplicado, terceros recibieron los códigos de seguridad de mi banco y realizaron operaciones que no he autorizado por un importe de [importe] €, según consta en la denuncia presentada el [fecha] ante [Policía Nacional / Guardia Civil / juzgado], que adjunto.
SOLICITO
a)
Que me informen por escrito de la fecha, la hora, el canal y el punto de venta en que se solicitó y entregó el duplicado, y del procedimiento y la documentación con los que se verificó la identidad del solicitante.
b)
Que conserven toda la documentación y las grabaciones relacionadas con esa solicitud.
c)
Que me indemnicen por los daños causados por la entrega del duplicado sin verificar adecuadamente mi identidad, por el importe que no me sea devuelto por la entidad bancaria, que les concretaré, y por los gastos derivados.
Si en el plazo de un mes no recibo respuesta o no es satisfactoria, acudiré a la Oficina de Atención al Usuario de Telecomunicaciones y a las demás vías que me correspondan.
[Lugar y fecha] [Firma]
La reclamación formal al banco y la del Banco de España tienen sus propios modelos en la guía de reclamación por fraude con modelos y plazos.
Dos reclamaciones, un solo caso
Banco y operadora se suelen culpar entre sí. Revisamos gratis tu caso completo y te decimos qué reclamar a cada uno, en qué orden y en qué condiciones lo llevaríamos antes de empezar.
Revisión gratuita · Sin pago inicial · Solo cobramos si hay resultado favorable
Cuándo puede negarse el banco: lo que pesa en contra
Conviene que lo sepas antes de reclamar, para preparar bien el caso:
- Si antes del duplicado diste tus claves de la banca en una web falsa (lo vemos en la guía de SMS falso del banco), el banco intentará centrar el caso en ese momento y hablar de negligencia grave. La respuesta está en la STS 571/2025 (un engaño sofisticado no es sin más negligencia grave), pero conviene conservar el SMS o el correo que te engañó: en la sentencia 220/2026, de 14 de abril, de la Audiencia Provincial de Cantabria, el cliente perdió, entre otras razones, por no aportar el SMS para que se pudiera examinar su apariencia.
- Si facilitaste por teléfono un código a alguien que se hizo pasar por el banco, el caso se discute más y depende del detalle del engaño.
- Si tardaste en avisar sin motivo. El Tribunal de Justicia de la UE (asunto C-665/23, 1 de agosto de 2025) admite que se pierda el derecho a la devolución por no notificar sin tardanza injustificada, aunque no hayan pasado 13 meses.
- Si eres empresa y no consumidor, el contrato puede tener otras reglas y los tribunales a veces reparten la responsabilidad.
Nada de eso te impide reclamar, pero sí conviene saberlo antes de empezar. El marco general de todos los fraudes y la tabla de cuándo devuelve el banco según el caso están en la guía para reclamar un fraude bancario.
Qué cambiará con la nueva normativa europea de pagos
Las instituciones de la Unión Europea alcanzaron el 27 de noviembre de 2025 un acuerdo provisional sobre un nuevo Reglamento de Servicios de Pago que, a 23 de septiembre de 2026, no está publicado ni en vigor. Según el texto acordado, incluiría obligaciones para las operadoras de telecomunicaciones y las plataformas en la prevención del fraude, y la responsabilidad del banco que no bloquee operaciones sospechosas. Si se aprueba en esos términos, reforzaría la doble reclamación que te explicamos aquí. Hoy, tu caso se resuelve con las normas actuales.
Cómo evitar el SIM swapping
- Desconfía de cualquier mensaje que te pida datos personales o claves: sin tu DNI, tus datos y, a menudo, tus claves, el duplicado sirve de poco.
- Pregunta a tu operadora qué medidas extra de verificación ofrece para duplicados y cambios de SIM, y actívalas si existen.
- Si tu banco lo permite, confirma las operaciones en la app en lugar de por SMS, y activa las notificaciones de cada movimiento.
- Pon la verificación en dos pasos en WhatsApp y en tu correo.
- Ante un corte de línea sin explicación, no esperes al día siguiente: llama a tu operadora desde otro teléfono.
¿Cuánto cuesta reclamar un SIM swapping?
La revisión es gratuita y no hay pago inicial. Si la llevamos, hacemos la reclamación extrajudicial frente al banco. Solo cobramos si hay resultado favorable: en la modalidad estándar, 20 % de lo que recuperes + 60 € (+ IVA). Si recuperas 5.000 €, son 1.060 € + IVA. Los importes bajos tienen una escala específica, que te explicamos antes de empezar. Hay servicios que cobran por empezar; nosotros no. Si hiciera falta ir a juicio, sería un encargo aparte y solo con tu aceptación expresa.
Cuanto antes, mejor
Con el SIM swapping, los primeros días deciden mucho: lo que avisas, lo que pides y lo que guardas. Cuéntanos qué ha pasado y te ayudamos a ordenarlo.
Revisión gratuita · Sin pago inicial · Solo cobramos si hay resultado favorable
Si tu problema con el banco es de otro tipo, empieza por la guía general para reclamar al banco.
Preguntas frecuentes sobre el SIM swapping
¿Qué es el SIM swapping en pocas palabras?
Es una estafa en la que un tercero se hace pasar por ti ante tu operadora y consigue un duplicado de tu SIM, física o eSIM. Tu móvil se queda sin línea y el estafador recibe tus llamadas y tus SMS, incluidos los códigos que el banco envía para confirmar operaciones. Con ellos, y a menudo con claves robadas antes, entra en tu banca y saca el dinero.
¿Cómo saber si me han clonado la SIM del móvil?
La señal típica es quedarte de repente sin servicio donde siempre tienes cobertura, junto con un aviso de tu operadora sobre un duplicado o una eSIM que no pediste, avisos del banco de un nuevo dispositivo o que WhatsApp te pida verificar de nuevo. Si coinciden, llama a tu operadora desde otro teléfono y bloquea la banca sin esperar.
¿El banco me devuelve el dinero del SIM swapping?
Como regla general, sí: las operaciones hechas con tu número duplicado no las autorizaste y el banco debe devolverlas como tarde al final del día hábil siguiente a tu aviso. Solo se libra si prueba negligencia grave tuya, y el Supremo dijo en la STS 571/2025 que usar tus códigos SMS no prueba tu autorización. El resultado depende de las pruebas y de cómo consiguieron tus claves.
¿Puedo reclamar a Movistar, Digi, O2 u otra operadora por el SIM swapping?
Sí, sea cual sea tu operadora, si entregó el duplicado sin verificar bien la identidad de quien lo pidió. Reclama por escrito a su atención al cliente, que tiene un mes para responder; después puedes acudir a la Oficina de Atención al Usuario de Telecomunicaciones y a la Agencia de Protección de Datos. Para recuperar el dinero, la vía es un acuerdo o una demanda.
¿Qué hago con WhatsApp si me han hecho SIM swapping?
En cuanto recuperes tu línea con la SIM nueva, vuelve a registrar WhatsApp con tu número: eso cierra la sesión del estafador. Activa después la verificación en dos pasos. Avisa a tus contactos de que alguien ha podido escribirles en tu nombre y de que no hagan pagos ni Bizum que les pidan desde tu número.
¿Cuánto tiempo tengo para reclamar al banco?
Tienes que avisar sin demora injustificada desde que lo descubres y, como máximo, dentro de 13 meses desde el cargo (art. 43.1 del Real Decreto-ley 19/2018). Después, el banco tiene 15 días hábiles para contestar tu reclamación. A la operadora conviene reclamarle a la vez, sin dejar pasar meses, para que conserve la documentación del duplicado.
¿Me protege tener una eSIM?
No por sí sola. El duplicado que pide el estafador puede ser también una eSIM: lo que importa es cómo verifica la operadora la identidad de quien la solicita. Te protegen más confirmar las operaciones en la app del banco en lugar de por SMS, activar las alertas de cada movimiento y no facilitar datos ni claves a nadie que te escriba o te llame.
Más artículos
Me han pedido un préstamo a mi nombre desde mi banca online: cómo anularlo y recuperar el dinero
Me han pedido un préstamo a mi nombre desde mi banca online: cómo anularlo por falta de consentimiento, recuperar el dinero que salió y evitar ASNEF.
Reclamación al Banco de España por phishing y carta al banco: modelos para copiar y todos los plazos
Reclamación al Banco de España por phishing y carta al banco: dos modelos para copiar, con petición de registros de autenticación, y todos los plazos.