Guía legal · Actualizado noviembre 2026

Abogado de vishing y spoofing telefónico

Te llamaron desde el número de tu banco. Te pidieron un código. Y cuando quisiste darte cuenta, el dinero había desaparecido. Si esto te ha pasado, la ley está de tu parte.

Revisado por José Manuel Domínguez González · Colegiado n.º 137.813 ICAM · Actualizado el 3 de noviembre de 2026

En síntesis

El vishing es una llamada telefónica en la que el estafador se hace pasar por un empleado de tu banco. A menudo combina la llamada con el spoofing: falsifica el número de teléfono para que en tu pantalla aparezca el del banco real. Durante la conversación te pide que confirmes un código, que apruebes una operación en la app o que facilites tus claves. Con esos datos, ejecuta transferencias a cuentas que controla.

La buena noticia: el Real Decreto-ley 19/2018 obliga al banco a devolverte el dinero de inmediato (art. 45.1) salvo que demuestre —él, no tú— que actuaste con fraude o negligencia grave (art. 44.3).

Cómo funciona el fraude

El contacto. Recibes una llamada del «número de tu banco». A veces va precedida de un SMS alertando de una operación sospechosa.
La urgencia. El falso empleado te dice que alguien está accediendo a tu cuenta. Necesita que actúes ya.
La trampa. Te pide un código que acabas de recibir por SMS, o que confirmes una operación en la app del banco. Ese código o esa confirmación es lo que autoriza la transferencia.
La ejecución. El dinero sale de tu cuenta en segundos. A menudo se fracciona en varias transferencias y se mueve a cuentas de «mulas» para dificultar el rastreo.

Qué juega a tu favor

Reembolso inmediato. El banco debe devolverte el dinero a más tardar al final del día hábil siguiente a la notificación (art. 45.1 RDL 19/2018).
Carga de la prueba invertida. No eres tú quien tiene que demostrar que no fuiste negligente: es el banco quien debe probar que actuaste con fraude o negligencia grave (art. 44.3 RDL 19/2018).
El registro no basta. Que el banco registre el uso de tus credenciales no prueba, por sí solo, ni que autorizaras la operación ni que fueras negligente (art. 44.2 RDL 19/2018).
El spoofing refuerza tu posición. Si el número que aparecía en tu pantalla era el del banco, la confianza que depositaste en la llamada es razonable. Las audiencias provinciales vienen reconociéndolo así (entre otras, SAP Cádiz de 31‑1‑2025, ECLI:ES:APCA:2025:191).
Sin autenticación reforzada, el banco responde. Si no te exigieron doble factor, solo respondes en caso de fraude por tu parte (art. 46.2 RDL 19/2018).
La STJUE C‑70/25 cierra el debate. Desde octubre de 2026, el Tribunal de Justicia de la UE ha dejado claro que alegar negligencia grave del cliente no exime al banco de devolver primero (STJUE de 15‑10‑2026, C‑70/25, Tukowiecka, ECLI:EU:C:2026:852).

Qué lo complica

Facilitaste las claves voluntariamente, aunque fuera bajo engaño. El banco dirá que hubo negligencia grave.
Tardaste en avisar. Cuanto más tiempo pase entre el fraude y la notificación, más difícil será rastrear el dinero y más argumentos tendrá el banco.
No denunciaste. La denuncia no es un requisito legal para reclamar, pero su ausencia debilita la posición.
La empresa no es consumidora ni microempresa. En ese caso, el contrato puede haber excluido algunas protecciones (art. 34.1 RDL 19/2018).

Qué dice la ley

Art. 45.1 del RDL 19/2018 — Reembolso inmediato: El banco devuelve el importe de la operación no autorizada de inmediato y, como máximo, al final del día hábil siguiente.
Art. 44.2 y 44.3 del RDL 19/2018 — Carga de la prueba: El registro del banco no prueba autorización ni negligencia. Es el banco quien debe demostrar fraude o negligencia grave.
Art. 46 del RDL 19/2018 — Responsabilidad del usuario: Hasta 50 € salvo fraude o negligencia grave probada. Si no hubo autenticación reforzada, solo en caso de fraude.
STJUE C‑70/25 (Tukowiecka): Alegar negligencia grave no exime del reembolso inmediato.

Qué hacer ahora

Bloquea todo. Tarjetas, banca online, acceso a la app. Llama al número de emergencias del banco.
Avisa al banco por escrito. Correo electrónico o reclamación en sucursal. Pide acuse de recibo.
Denuncia. Policía Nacional o Guardia Civil, con capturas, SMS, correos y justificantes.
Guarda todo. No borres mensajes, llamadas ni notificaciones. Son prueba.
Consulta a un abogado. Cuanto antes revisemos la documentación, más opciones tienes. El análisis inicial es gratuito.

Preguntas frecuentes

¿Puedo reclamar aunque di el código voluntariamente?: Sí. Que facilitaras el código bajo engaño no equivale automáticamente a negligencia grave. El banco debe probarla, y los tribunales valoran las circunstancias: si el número era el del banco (spoofing), si la llamada era convincente y si el banco tenía mecanismos para detectar la operación sospechosa.
¿Cuánto puedo tardar en reclamar?: El plazo para pedir el reembolso automático es de 13 meses desde el cargo (art. 43.1 RDL 19/2018). Después de ese plazo puede quedar la vía judicial, pero conviene no esperar.
¿Necesito un abogado para reclamar al banco?: Para la reclamación extrajudicial, no es obligatorio pero sí recomendable: un escrito bien fundado en la normativa multiplica las posibilidades de que el banco atienda sin llegar a juicio.

Sobre el autor

José Manuel Domínguez González · Colegiado n.º 137.813 del Ilustre Colegio de la Abogacía de Madrid. Dedicado al fraude bancario: phishing, vishing, smishing y variantes. Trayectoria previa en Andersen y Aeroiuris.

Fuentes verificadas

RDL 19/2018: arts. 34.1, 43.1, 44.2, 44.3, 45.1, 46. Fuente: BOE consolidado (BOE‑A‑2018‑16036).
STJUE de 15‑10‑2026, C‑70/25, Tukowiecka. ECLI:EU:C:2026:852.
SAP Cádiz de 31‑1‑2025 (spoofing caller ID). ECLI:ES:APCA:2025:191.
STS 571/2025, de 9‑4‑2025. ECLI:ES:TS:2025:1671.