Abogado de phishing bancario

En síntesis

El phishing bancario es un correo electrónico que suplanta la identidad de tu banco. Reproduce su logotipo, sus colores y su tono para que introduzcas tus credenciales en una web falsa. Con esas claves, el estafador accede a tu banca online y ordena transferencias a cuentas que controla.

A veces el correo instala software malicioso (malware) que captura las credenciales directamente de tu dispositivo. Otras veces, el phishing es solo el primer paso: le sigue una llamada telefónica (vishing) en la que el estafador, que ya tiene parte de tus datos, te pide confirmar una operación.

El Real Decreto-ley 19/2018 obliga al banco a devolverte el dinero de inmediato (art. 45.1) salvo que demuestre —él, no tú— que actuaste con fraude o negligencia grave (art. 44.3).

Cómo funciona

1. El correo. Recibes un email que parece del banco: logotipo real, asunto urgente («movimiento sospechoso», «verificación de seguridad», «actualización obligatoria»).
2. El enlace. Te dirige a una página que replica la web del banco. La URL suele tener variaciones sutiles que pasan desapercibidas.
3. Las credenciales. Introduces usuario, contraseña y, en muchos casos, un código de verificación que recibes por SMS en ese mismo momento.
4. La operación. Con tus datos, el estafador accede a tu banca y ejecuta transferencias. En minutos, el dinero está en otra cuenta.

Qué juega a tu favor

• Reembolso inmediato. El banco debe devolverte el dinero a más tardar al final del día hábil siguiente (art. 45.1 RDL 19/2018).
• Carga de la prueba invertida. Es el banco quien debe probar tu fraude o negligencia grave, no tú tu inocencia (art. 44.3 RDL 19/2018).
• El registro no basta. Que el banco registre el uso de tus credenciales no prueba que autorizaras la operación (art. 44.2 RDL 19/2018).
• Sin autenticación reforzada, el banco responde. Si no te exigieron doble factor, solo respondes en caso de fraude (art. 46.2 RDL 19/2018).
• La STJUE C‑70/25 cierra el debate. Alegar negligencia grave no exime al banco de devolver primero (STJUE de 15‑10‑2026, C‑70/25, Tukowiecka, ECLI:EU:C:2026:852).

Qué lo complica

• Introdujiste tus claves en la web falsa. El banco argumentará que no verificaste la URL.
• El correo era genérico y con errores. Cuanto más burdo sea el phishing, más fácil será para el banco alegar que debiste detectarlo.
• Tardaste en avisar. El tiempo entre el fraude y la notificación importa.
• La empresa no es consumidora ni microempresa. El contrato puede haber excluido protecciones (art. 34.1 RDL 19/2018).

Qué hacer ahora

1. Bloquea todo. Tarjetas, banca online, acceso a la app.
2. Avisa al banco por escrito. Correo electrónico o reclamación formal. Pide acuse.
3. Denuncia. Policía Nacional o Guardia Civil con capturas del correo, la URL falsa y los justificantes.
4. No borres nada. El correo fraudulento, la URL, las capturas y los SMS son prueba.
5. Consulta a un abogado. El análisis inicial es gratuito.

Preguntas frecuentes

¿Puedo reclamar aunque introduje mis claves en la web falsa?

Sí. Introducir las credenciales en una réplica convincente del banco no equivale automáticamente a negligencia grave. El banco debe probarla, y los tribunales valoran la sofisticación del engaño y los mecanismos de seguridad que el banco tenía o debía tener.

¿Cuánto puedo tardar en reclamar?

13 meses desde el cargo para el reembolso automático (art. 43.1 RDL 19/2018). Después puede quedar la vía judicial.

¿Y si también me llamaron por teléfono después del correo?

Es habitual: phishing + vishing. La combinación de técnicas refuerza tu posición, porque demuestra un ataque sofisticado difícil de detectar para un usuario medio.

Sobre el autor

José Manuel Domínguez González · Colegiado n.º 137.813 del Ilustre Colegio de la Abogacía de Madrid. Dedicado al fraude bancario: phishing, vishing, smishing y variantes. Trayectoria previa en Andersen y Aeroiuris.

Artículos relacionados

• Vishing y spoofing telefónico
• Qué hacer si te roban dinero de la cuenta
• Smishing: el SMS falso del banco

Fuentes verificadas

• RDL 19/2018: arts. 34.1, 43.1, 44.2, 44.3, 45.1, 46. Fuente: BOE consolidado (BOE‑A‑2018‑16036).
• STJUE de 15‑10‑2026, C‑70/25, Tukowiecka. ECLI:EU:C:2026:852.
• STS 571/2025, de 9‑4‑2025. ECLI:ES:TS:2025:1671.