Phishing, smishing o vishing con perjuicio económico
Le han suplantado a su banco por SMS, correo o teléfono y ha perdido dinero. Hay dos vías que corren en paralelo y ninguna sustituye a la otra: la reclamación a su entidad, que tiene un deber legal de devolución casi inmediato, y la denuncia penal por estafa informática.
Comunique la operación a su banco hoy mismo
El deber de devolución del artículo 45 del Real Decreto-ley 19/2018 se activa con su comunicación. Hágala por un canal que deje constancia escrita y exija el número de registro de la reclamación.
Recuerde ratificar su denuncia en 72 horas
La denuncia presentada en la Oficina Virtual de Denuncias de la Policía Nacional no produce efecto jurídico alguno mientras no la firme presencialmente en la comisaría que haya elegido, dentro de las 72 horas siguientes. Si dispone de certificado digital, DNIe o Cl@ve, la sede electrónica de la Guardia Civil evita este trámite.
¿Es su caso?
- SMS del banco con un enlace que pide sus claves
- Llamada de un falso empleado del banco pidiendo el código de la app
- Correo de Correos o de la Agencia Tributaria con enlace a una web falsa
- Cargos en tarjeta que usted no ha autorizado
Ante quién se denuncia
Esta es la ruta habitual. El orden importa: algunas vías tienen plazos que empiezan a correr con su primera comunicación, y otras exigen haber agotado un paso previo. El asistente la ajusta a su caso concreto —comunidad autónoma, tipo de entidad responsable, si dispone de certificado digital— y puede cambiarla por completo.
Servicio de Atención al Cliente de la entidad bancaria
Empiece por aquíEl proveedor de servicios de pago debe devolver el importe de una operación no autorizada de inmediato y, a más tardar, al final del día hábil siguiente al de su comunicación (artículo 45 del Real Decreto-ley 19/2018).
Comuníquelo sin demora. El plazo máximo para notificar una operación no autorizada es de 13 meses desde el cargo.
Cómo se presenta: Formulario o correo del Servicio de Atención al Cliente de la entidad. Exija número de registro de la reclamación.
- Comunique la operación no autorizada SIN DEMORA. El artículo 45 del Real Decreto-ley 19/2018 obliga al proveedor de servicios de pago a devolver el importe de inmediato y, a más tardar, al final del día hábil siguiente a aquel en que se le notificó.
- El plazo máximo para notificar una operación no autorizada es de 13 meses desde el cargo. Pasado ese plazo, decae la reclamación.
- Solicite por escrito el certificado de la operación con fecha, hora, importe, IBAN de destino y canal utilizado: es prueba clave para la denuncia penal.
Policía Nacional — Oficina Virtual de Denuncias
La obtención fraudulenta de credenciales y la transferencia no consentida de fondos constituyen estafa informática del artículo 249 del Código Penal.
Ratificación presencial obligatoria dentro de las 72 horas siguientes a la presentación en línea.
Cómo se presenta: Oficina Virtual de Denuncias. No exige certificado digital. Abrir sede oficial ↗
- ATENCIÓN: la denuncia presentada por este canal debe ratificarse firmándola presencialmente en la comisaría elegida dentro de las 72 horas siguientes. Si no se ratifica, no produce efecto jurídico alguno.
- Lleve a la comisaría el justificante, su documento de identidad y las pruebas impresas o en soporte digital.
Comisaría de Policía Nacional o puesto de la Guardia Civil
Alternativa presencial: evita el trámite de ratificación.
Cómo se presenta: Presencialmente, en cualquier dependencia policial, sin cita previa. Abrir sede oficial ↗
- Lleve este escrito impreso y firmado por duplicado: uno se queda la dependencia y el otro, sellado, es su justificante.
- Lleve también las pruebas en un soporte (USB o impresas) y su documento de identidad.
Juzgado de Instrucción en funciones de Guardia
Vía judicial directa prevista en los artículos 259 y siguientes de la Ley de Enjuiciamiento Criminal.
Cómo se presenta: Presentación presencial en el Decanato de los Juzgados del partido judicial correspondiente. Abrir sede oficial ↗
- Vía alternativa a la policial, prevista en los artículos 259 y siguientes de la Ley de Enjuiciamiento Criminal.
- Recomendable cuando urge solicitar diligencias de aseguramiento de prueba (por ejemplo, la conservación de registros de conexión) o cuando la denuncia se presenta a través de procurador y abogado.
Apoyo disponible (no reciben denuncias)
INCIBE — Línea de Ayuda en Ciberseguridad 017
Orientación gratuita y confidencial sobre qué hacer a continuación.
Teléfono 017, WhatsApp 900 116 117 y Telegram @INCIBE017. Gratuito y confidencial, todos los días del año.
Normativa que se cita en el escrito
- Artículo 249 del Código Penal, que tipifica la estafa informática cometida mediante manipulación informática o artificio semejante para conseguir una transferencia no consentida de activo patrimonial, en la redacción dada por la Ley Orgánica 14/2022.
- Artículo 248 del Código Penal, sobre el delito de estafa, cuando concurra engaño bastante determinante del acto de disposición.
- Artículos 43, 44 y 45 del Real Decreto-ley 19/2018, de servicios de pago, sobre notificación de operaciones no autorizadas y deber de devolución inmediata por el proveedor de servicios de pago.
- Artículo 46 del Real Decreto-ley 19/2018, que sólo exonera al proveedor si acredita que el usuario actuó con negligencia grave.
Qué pruebas conservar, y cómo
Hágalo antes de nada: los rastros digitales se sobrescriben solos. Esta lista va de lo específico de su caso a lo que vale para cualquier incidente.
- Guarde el correo original en formato .eml, no una capturaLas cabeceras completas (Received, Return-Path, Authentication-Results con SPF, DKIM y DMARC) identifican el origen real del envío y se pierden al hacer una captura. En Gmail: «⋮ → Descargar mensaje». En Outlook: arrastre el correo al escritorio.
- Conserve el SMS íntegro y el número emisorFotografíe la conversación completa mostrando el identificador del remitente. En el «SMS spoofing» el mensaje fraudulento aparece dentro del hilo legítimo del banco: capture también los mensajes anteriores y posteriores.
- Solicite a su banco el certificado de la operaciónPida por escrito un documento con fecha, hora, importe, IBAN de destino, canal utilizado y método de autenticación aplicado. Es la prueba que acredita el perjuicio y la que permite discutir si la entidad aplicó autenticación reforzada.
- Registre el IBAN o la tarjeta de destinoLa cuenta de destino es el hilo del que tira la investigación policial. Anótela aunque le parezca inútil.
- No vuelva a acceder desde el mismo dispositivoSi introdujo credenciales, cámbielas desde otro equipo de confianza y revise los dispositivos con sesión iniciada.
- No borre ni «limpie» nadaNo elimine correos, conversaciones, perfiles ni archivos, aunque resulten desagradables. Tampoco reinstale equipos. Todo ello es prueba y su desaparición juega en su contra.
- Capture con fecha, hora y contexto visibleLas capturas de pantalla deben mostrar la dirección completa (URL), el remitente, la fecha y la hora del dispositivo. Una captura recortada sin contexto tiene escaso valor probatorio.
- Calcule el hash de cada archivo que entregueUn hash SHA-256 acredita que el archivo no se ha modificado desde que lo obtuvo. En Windows: «certutil -hashfile ARCHIVO SHA256». En macOS o Linux: «shasum -a 256 ARCHIVO». Anote el resultado en el propio escrito.
- Entregue copia, nunca el originalAporte una copia en un soporte que pueda dejar en la dependencia policial o judicial (un USB barato). Conserve usted el original intacto.
- Anote la cronología mientras la recuerdeFecha y hora de cada hecho, de cada llamada y de cada gestión, con el nombre de quien le atendió y el número de referencia que le dieron. Esta bitácora es, a efectos prácticos, prueba.
- Valore el sellado de tiempo o el acta notarialSi el contenido puede desaparecer (una publicación, un perfil, una web), un acta notarial o un servicio de sellado de tiempo cualificado fija su existencia en una fecha concreta. Es la forma más sólida de evitar la discusión sobre la autenticidad.
Preguntas frecuentes
¿Denuncio primero a la policía o reclamo antes al banco?
Al banco, y el mismo día. El deber de devolución del artículo 45 del Real Decreto-ley 19/2018 se activa con su comunicación: la entidad debe reintegrarle el importe de inmediato y, a más tardar, al final del día hábil siguiente. La denuncia policial va después y refuerza su posición, pero no sustituye a esa comunicación.
El banco dice que fui negligente y no me devuelve el dinero. ¿Qué hago?
La carga de la prueba es suya, no de usted: la entidad debe acreditar la negligencia grave, no basta con afirmarla. Reclame por escrito al Servicio de Atención al Cliente y, si en un mes no hay respuesta satisfactoria, acuda al Departamento de Conducta de Entidades del Banco de España.
¿Hasta cuándo puedo reclamar una operación no autorizada?
El plazo máximo para notificarla a su proveedor de servicios de pago es de 13 meses desde la fecha del cargo. Pasado ese plazo la reclamación decae, así que no lo agote.
¿Sirve de algo denunciar si el estafador está en otro país?
Sí. La denuncia permite rastrear la cuenta de destino, agrupar casos contra el mismo grupo y, sobre todo, acredita frente a su banco y frente a un juez que usted fue víctima de un fraude.
El asistente ajusta el destinatario a su comunidad autónoma y a su caso, y le deja el documento con la estructura que exige la ley y los huecos señalados.
Abrir el asistente