Fraude bancario y cargos no autorizados: cómo protegerse
Ante un cargo no autorizado hay que avisar al banco sin demora y, como máximo, en 13 meses desde el adeudo. El banco debe devolverlo como tarde al final del día hábil siguiente, salvo sospecha fundada de fraude. Por una tarjeta perdida o robada usada antes del aviso, el cliente responde hasta 50 €, salvo fraude o negligencia grave.
Cómo actúan los estafadores
El Banco de España agrupa estas técnicas bajo la ingeniería social: obtener información manipulando al usuario, porque resulta más fácil engañar a una persona para que dé su contraseña que romper los sistemas de seguridad de las empresas. Todas persiguen lo mismo: datos personales, números de tarjeta, usuario y contraseña de la banca electrónica y claves de un solo uso (OTP).
Técnica | Canal | Cómo funciona, según el Banco de España |
|---|---|---|
Phishing | Correo electrónico | Envío masivo de correos que suplantan al banco u otra organización, con prisas y amenazas para forzar una decisión rápida, enlaces a una web falsa (web spoofing) o adjuntos con programas maliciosos. |
Smishing | SMS | Mensaje que simula ser del banco, normalmente con un enlace a una página fraudulenta. Con el SMS spoofing, el remitente aparece con el nombre de la entidad y el mensaje puede llegar en el mismo hilo que los SMS reales. |
Vishing | Llamada | El estafador se hace pasar por alguien de confianza. En un caso descrito por el Banco de España, un falso empleado avisa de una compra fraudulenta, pide datos de la tarjeta y, mientras habla, compra en línea y solicita las claves OTP diciendo que sirven para anular la operación falsa. |
Suplantación del identificador | Llamada | La pantalla muestra un número distinto del real, que puede ser el de atención al cliente del banco. |
Las técnicas se combinan: un SMS puede incluir un teléfono al que llamar para «cancelar» una compra que no existe.
Lo que el banco no pide
El Banco de España recuerda que:
- El banco nunca pide por correo electrónico ni por SMS las claves de la banca electrónica o los datos de las tarjetas.
- Tampoco pide contraseñas o claves completas; es habitual que solicite solo algunas posiciones de la clave de acceso.
- Si no se ha hecho una operación, no tiene sentido recibir una clave temporal, y el banco no necesita ningún código para anular una operación fraudulenta.
Ante una llamada sospechosa, el consejo es colgar y llamar al número oficial de la entidad, o entrar en la banca en línea para comprobar si la operación de la que hablan existe.
La autenticación reforzada
El Real Decreto-ley 19/2018, que traspone la directiva europea de servicios de pago conocida como PSD2, obliga a las entidades a aplicar la autenticación reforzada cuando el cliente accede a su cuenta en línea, inicia un pago electrónico o hace por un canal remoto cualquier acción que pueda entrañar riesgo de fraude (art. 68.1).
La autenticación reforzada combina al menos dos factores independientes, según el Banco de España:
- algo que el cliente sabe (una contraseña o un PIN);
- algo que tiene (la tarjeta, el móvil o una notificación en él);
- algo que es (la huella dactilar o el iris).
En los pagos electrónicos remotos, la autenticación debe incluir elementos que asocien dinámicamente la operación a un importe y un beneficiario determinados (art. 68.2).
Si la entidad no exigió autenticación reforzada, el ordenante solo soporta las pérdidas si actuó de forma fraudulenta (art. 46.2).
Qué hacer si ya hay un cargo no autorizado
- Avisar a la entidad sin demora indebida en cuanto se detecte (art. 41.b). Muchas aplicaciones permiten bloquear la tarjeta al momento; también se puede hacer por la web o por el teléfono que la entidad debe tener disponible para estos casos. La entidad está obligada a ofrecer medios gratuitos para notificarlo en todo momento y a facilitar gratis, si se le pide durante los 18 meses siguientes, una prueba de que se hizo la comunicación (art. 42.1.c).
- Cambiar la contraseña de la banca electrónica si se ha facilitado (Banco de España).
- Presentar denuncia ante la Policía, la Guardia Civil o el juzgado.
- Revisar los movimientos y reclamar por escrito al servicio de atención al cliente cada cargo no reconocido. La entidad debe facilitar la documentación que acredite que el pago se autorizó correctamente. Los pasos y plazos de la reclamación están en cómo reclamar al banco.
Plazo para comunicarlo
La rectificación solo se obtiene si se comunica sin demora injustificada y, en todo caso, dentro de los 13 meses siguientes a la fecha del adeudo (art. 43.1). Ese plazo no se aplica si la entidad no facilitó la información sobre la operación que exige la norma.
Qué debe hacer el banco
- Devolver el importe de inmediato y, a más tardar, al final del día hábil siguiente a aquel en que observó la operación o se le notificó, con fecha de valor no posterior a la del cargo. La excepción es que tenga motivos razonables para sospechar fraude y los comunique por escrito al Banco de España (art. 45.1).
- Si el cliente niega haber autorizado el pago, demostrar que la operación se autenticó, se registró con exactitud y no sufrió un fallo técnico (art. 44.1). El simple registro del uso de la tarjeta no basta necesariamente para probar que el cliente autorizó el pago ni que actuó con negligencia grave (art. 44.2).
- Probar, si lo alega, que el cliente cometió fraude o negligencia grave (art. 44.3).
Cuánto puede tener que pagar el cliente
Situación | Responsabilidad del cliente | Artículo |
|---|---|---|
Operaciones posteriores a la notificación de pérdida, robo o uso no autorizado | Ninguna, salvo fraude | 46.3 |
Operaciones anteriores a la notificación con un instrumento perdido, robado o apropiado indebidamente | Hasta 50 € | 46.1 |
El cliente no podía detectar la pérdida o el robo antes del pago, o la pérdida se debe a empleados o agentes de la entidad | Ninguna, salvo fraude | 46.1 a) y b) |
Pagos a distancia con una tarjeta perdida o robada, hechos solo con los datos impresos en ella | Ninguna, si no hubo fraude ni negligencia grave y se avisó sin demora | 46.1 |
La entidad no exigió autenticación reforzada | Solo si hubo fraude | 46.2 |
La entidad no tenía disponibles medios para notificar la pérdida o el robo | Ninguna, salvo fraude | 46.4 |
Fraude o incumplimiento deliberado o por negligencia grave de las obligaciones de custodia y aviso | Todas las pérdidas, sin límite | 46.1 |
Qué se entiende por negligencia grave
La ley no la define con una lista. Remite a las obligaciones del artículo 41: usar el instrumento de pago según sus condiciones, tomar medidas razonables para proteger las credenciales de seguridad y avisar sin demora de la pérdida, el robo o el uso no autorizado. El Banco de España añade que es frecuente que las entidades consideren formalmente autorizados los cargos en los que el titular, engañado, entregó las claves a los delincuentes. Si se discrepa, la vía es la reclamación.
Ejemplo con cifras
Ejemplo hipotético. Roban una tarjeta y, antes de que el titular lo comunique, se hacen con ella compras presenciales por 300 €; después del aviso se intenta otra de 200 €. Si el titular no actuó con fraude ni negligencia grave, puede tener que asumir como máximo 50 € de los 300 € anteriores al aviso (art. 46.1) y nada de lo posterior (art. 46.3). Si el banco prueba negligencia grave, el límite de 50 € deja de aplicarse a las operaciones anteriores al aviso.
Hábitos que recomienda el Banco de España
- Revisar con frecuencia los movimientos de la cuenta y la tarjeta.
- Introducir los datos de la tarjeta solo en webs seguras y no seguir enlaces recibidos por SMS o correo.
- Desconfiar de los adjuntos y comprobar el remitente, sabiendo que puede estar falseado.
- Custodiar la tarjeta, el móvil y cualquier dispositivo con el que se pueda pagar.
- Reenviar al banco los mensajes fraudulentos recibidos para que avise a otros clientes.
Las precauciones al dar de alta una cuenta por internet están en abrir una cuenta online.
Términos relacionados
Preguntas frecuentes
¿Me tiene que devolver el banco el dinero si di yo el código por teléfono?
Depende de si se considera que hubo negligencia grave, y probarlo corresponde al banco (RDL 19/2018, art. 44.3). El Banco de España advierte de que, cuando el titular entregó las claves tras un engaño, es frecuente que las entidades consideren el cargo formalmente autorizado. Si el banco se niega a devolverlo, cabe reclamar ante su servicio de atención al cliente y después ante el Banco de España.
¿El abono que me hace el banco mientras investiga es definitivo?
No necesariamente. Según el Banco de España, si la entidad hace un abono provisional mientras tramita la reclamación, debe avisar antes de que lo es, porque el importe puede volver a cargarse si comprueba que la operación se autenticó correctamente y aporta la documentación que lo acredita.
Fuentes
- Boletín Oficial del Estado: Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera (arts. 41 a 46 y 68; texto consolidado actualizado el 28/12/2023). Consultado el .
- Banco de España (Portal del Cliente Bancario): ¿Qué es el phishing y cómo evitarlo? ¡No piques! (05/03/2020). Consultado el .
- Banco de España (Portal del Cliente Bancario): Vishing, llamada telefónica no deseada (24/03/2020). Consultado el .
- Banco de España (Portal del Cliente Bancario): Suplantación de SMS y del identificador de llamadas (11/01/2022). Consultado el .
- Banco de España (Portal del Cliente Bancario): ¿Cómo de auténticas son tus operaciones bancarias? (23/10/2019). Consultado el .
- Banco de España (Portal del Cliente Bancario): Pagos con tu tarjeta que tú no has autorizado (15/02/2022). Consultado el .
- Banco de España (Portal del Cliente Bancario): Qué debes hacer si detectas en tu cuenta un pago que no reconoces (09/05/2023). Consultado el .
- Banco de España (Portal del Cliente Bancario): Tarjetas. Uso fraudulento. Consultado el .