Qué hacer si te roban por phishing en España: el banco debe devolverte el dinero primero, según el TJUE

Si un estafador vacía tu cuenta con tus claves robadas por phishing, el banco debe devolverte el dinero de inmediato, a más tardar al final del día hábil siguiente, aunque alegue que fuiste gravemente negligente. Así lo resolvió el Tribunal de Justicia de la Unión Europea (TJUE) en su sentencia del 15 de octubre de 2026 en el asunto C-70/25, según su comunicado de prensa n.º 147/26. En España, el artículo 45.1 del Real Decreto-ley 19/2018 ya fija esa misma obligación.

Qué decidió el TJUE

El caso llegó desde Polonia. Una clienta que vendía un objeto en una plataforma en línea recibió de un supuesto comprador un enlace a una web que imitaba la de su banco. Allí escribió sus credenciales y un código SMS, y un tercero transfirió unos 700 euros de su cuenta, según Finreg360. Ella avisó al banco y a la policía al día siguiente, y el banco se negó a devolverle el dinero alegando negligencia grave.

El tribunal respondió que, ante una operación de pago no autorizada, «el proveedor de servicios de pago está en principio obligado a devolver inmediatamente el importe de la operación», según el comunicado. Lo que establece la sentencia, según los análisis de MTR Legal y LawAndTrends:

• Primero se devuelve: la sospecha de negligencia grave no permite negar ni aplazar el reembolso.
• Después se discute: el banco puede reclamarte la pérdida más tarde, pero debe probar esa negligencia grave.
• Una sola excepción: que el banco tenga motivos razonables para sospechar un fraude del propio cliente y lo comunique por escrito a la autoridad competente.

La sentencia interpreta el artículo 73 de la directiva europea de servicios de pago (PSD2). No menciona las criptomonedas.

Qué dice la ley española

El artículo 45.1 del Real Decreto-ley 19/2018 dice que «el proveedor de servicios de pago del ordenante devolverá a éste el importe de la operación no autorizada de inmediato», a más tardar al final del día hábil siguiente a aquel en que conozca la operación o se la notifiquen. La excepción es la misma: el banco solo puede no devolverlo si tiene motivos razonables para sospechar fraude y los comunica por escrito al Banco de España.

La OCU lo resumió el 16 de octubre: «lo primero es devolver el dinero». Según la organización, el usuario «no debe responsabilizarse de ninguna cantidad», y si el banco alega negligencia grave es él quien debe reclamarla y demostrarla.

Hasta dónde llega: la frontera que importa

La sentencia habla de operaciones no autorizadas: el estafador obtiene tus claves y mueve el dinero sin que tú des la orden. Es el phishing clásico de la web o el SMS falso del banco.

En principio, no cubre la transferencia que haces tú mismo, engañado: el dinero que envías a un falso asesor de inversiones, a una supuesta plataforma o a un exchange porque alguien te convenció. En ese caso la operación sí la autorizaste, y la vía es otra, más lenta e incierta. Si caíste en una estafa así, ten cuidado también con quien te ofrezca recuperar el dinero a cambio de un pago por adelantado: lo explicamos en esta guía sobre las estafas de recuperación.

Qué hacer si te roban por phishing en España

• Avisa al banco de inmediato. Bloquea tarjetas y acceso a la banca en línea. La ley exige comunicarlo «sin demora injustificada» y, en todo caso, dentro de los trece meses siguientes al cargo, según el análisis de Gómez-Acebo & Pombo sobre el artículo 43.
• Pide el reembolso por escrito. Indica que no autorizaste la operación y cita el artículo 45.1 del Real Decreto-ley 19/2018 y la sentencia del TJUE del 15 de octubre de 2026 (asunto C-70/25). Guarda el justificante.
• Denuncia ante la Policía Nacional o la Guardia Civil y adjunta la denuncia a tu reclamación. Si el dinero acabó en una cuenta de un exchange, puede servirte esta nota sobre qué hacer cuando la justicia congela una cuenta.
• Si el banco no responde o se niega, la reclamación formal va primero a su servicio de atención al cliente, que tiene 15 días hábiles para responder en servicios de pago, según el Banco de España. Después puedes acudir al Banco de España, cuyo informe «no tiene carácter vinculante».
• Si el banco alega negligencia grave, la OCU advierte que «reclamar al Banco de España no es la solución», porque el organismo dice que valorar esos casos excede sus competencias: la vía es judicial.

Ninguna de estas reglas garantiza que al final no tengas que asumir la pérdida: si el banco demuestra ante un juez tu negligencia grave, podrá reclamarte el importe.

Esta nota es informativa y no sustituye el consejo de un abogado.