Phishing bancario: cómo reclamar al banco las operaciones no autorizadas

Si ha sido víctima de una estafa o de un phishing y en su cuenta han aparecido movimientos que usted no ordenó, la pregunta inmediata es si ese dinero se puede reclamar a la entidad. Lo que decide la respuesta es un concepto jurídico concreto: la negligencia grave.

Qué es una operación de pago no autorizada

Cuando alguien suplanta a una entidad de confianza para obtener las claves, los datos de la tarjeta o el código de confirmación, y después se ejecutan transferencias o compras que el titular no ha ordenado, estamos ante operaciones de pago no autorizadas.

Esa calificación activa un régimen propio, el del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago.

La negligencia grave: el concepto que decide

Casi todas las reclamaciones por phishing se resuelven en un solo punto, y no es el de si hubo engaño —eso rara vez se discute—, sino el de si el titular incurrió en negligencia grave.

La ley no la define con una lista cerrada, pero sí fija contra qué se mide: contra las obligaciones del artículo 41, que son solo dos:

1. Utilizar el instrumento de pago conforme a las condiciones que regulen su emisión y utilización, que deben ser objetivas, no discriminatorias y proporcionadas, tomando todas las medidas razonables para proteger las credenciales de seguridad personalizadas. 2. Notificar sin demora indebida el extravío, la sustracción, la apropiación indebida o la utilización no autorizada.

No hay una tercera obligación. Y «negligencia grave» no equivale a «haber cometido un error»: es un estándar más exigente, que se valora atendiendo a cómo se produjo el engaño, su grado de sofisticación y las circunstancias concretas del caso.

Quién debe probar qué

El artículo 44.1 establece que, cuando el usuario niega haber autorizado una operación ya ejecutada, corresponde a la entidad demostrar que esa operación fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio.

El artículo 44.2 precisa que el registro del uso del instrumento de pago no basta, necesariamente, para demostrar que la operación fue autorizada por el ordenante, ni que este actuó de manera fraudulenta o incumplió deliberadamente o por negligencia grave sus obligaciones del artículo 41.

Y el artículo 44.3 cierra el razonamiento:

• «Corresponderá al proveedor de servicios de pago […] probar que el usuario del servicio de pago cometió fraude o negligencia grave.»

Si la entidad sostiene que hubo negligencia grave, es la entidad quien debe acreditarlo.

Hasta dónde responde el titular

Como regla, el artículo 46.1 limita a 50 euros las pérdidas que puede soportar el titular por operaciones derivadas de un instrumento de pago extraviado, sustraído o apropiado indebidamente, con excepciones que incluso eliminan ese importe.

Ese límite desaparece, y el titular soporta todas las pérdidas, si actuó de forma fraudulenta o incumplió deliberadamente o por negligencia grave las obligaciones del artículo 41.

El mismo artículo recoge dos reglas que conviene conocer:

• Si la entidad no exige autenticación reforzada de cliente (artículo 46.2), el titular solo soporta consecuencias económicas en caso de haber actuado de forma fraudulenta.
• Si las operaciones se hicieron de forma no presencial utilizando únicamente los datos de pago impresos en el propio instrumento, el titular queda exento de toda responsabilidad, salvo fraude o negligencia grave en el cumplimiento de sus obligaciones de custodia, siempre que lo notificara sin demora.

Y, tras la notificación, el artículo 46.3 excluye cualquier consecuencia económica para el titular, salvo actuación fraudulenta.

Qué hacer en las primeras horas

Las decisiones de las primeras horas condicionan toda la reclamación posterior.

• Comunicarlo a la entidad de inmediato y pedir el bloqueo. Es una de las dos obligaciones del artículo 41 y conviene que quede constancia de la hora.
• Cambiar las contraseñas comprometidas y las de cualquier otra cuenta donde se repitan.
• No borrar nada. El mensaje, el correo, el número desde el que llamaron, las capturas de la web falsa y los avisos de la aplicación son lo que después permite discutir la calificación de negligencia grave.
• Denunciar los hechos ante Mossos d'Esquadra, Policía Nacional o Guardia Civil.
• Pedir por escrito a la entidad el detalle de las operaciones y de cómo se autenticó cada una. El artículo 44.4 obliga a conservar esa documentación al menos seis años y a facilitarla al usuario si la solicita.
• INCIBE mantiene una línea de ayuda en ciberseguridad, el 017, gratuita y confidencial, con orientación técnica sobre qué hacer y cómo preservar las evidencias.

Plazos

La comunicación debe hacerse sin demora injustificada desde que se tiene conocimiento y, en todo caso, dentro de un plazo máximo de trece meses contados desde la fecha del adeudo (artículo 43.1). Ese plazo no se aplica cuando la entidad no proporcionó ni puso a disposición del cliente la información sobre la operación.

Las dos vías

La reclamación a la entidad es la que persigue la devolución del importe: escrito al servicio de atención al cliente y, si no se resuelve, reclamación ante el Departamento de Conducta de Entidades del Banco de España y, en su caso, demanda civil. El pronunciamiento del Banco de España no es vinculante para la entidad y no sustituye a la vía judicial, pero el procedimiento es gratuito y el informe tiene valor después.

La denuncia penal persigue a quien cometió la estafa, no a la entidad. En la práctica el autor rara vez aparece, pero la denuncia fija la versión de los hechos desde el principio, acredita la diligencia del titular y se incorpora como prueba a la reclamación civil. Si decide denunciar, puede consultar también los derechos que la ley reconoce a la víctima de un delito.

Qué revisamos antes de reclamar

• Cómo se produjo el contacto y qué datos llegó a facilitar el titular.
• Qué operaciones se ejecutaron, en qué orden y con qué método de autenticación.
• Si la entidad aplicó autenticación reforzada y qué consta en sus registros.
• Cuándo se comunicaron los hechos y cómo quedó documentada esa comunicación.
• Qué respuesta ha dado la entidad y con qué fundamento.

A partir de ahí se decide si la reclamación tiene recorrido y por qué vía, antes de presentar nada.