Me han estafado por Internet: ¿qué hago ahora y puedo recuperar el dinero?
Te llega un SMS aparentemente enviado por tu banco. Poco después recibes una llamada de alguien que dice trabajar para la entidad y te advierte de que están intentando acceder a tu cuenta. Te pide que confirmes unos datos, introduzcas una clave o autorices una operación para “proteger” tu dinero. Sigues las indicaciones porque todo parece real y, cuando descubres el engaño, el dinero ya no está.
Otras veces la estafa es más sencilla: haces un Bizum a un supuesto vendedor que desaparece, pagas por un producto anunciado en Wallapop o Milanuncios que nunca llega, alguien suplanta a un familiar por WhatsApp o transfieres dinero a una cuenta pensando que estás haciendo una inversión legítima.
Si te han estafado por Internet, la primera duda suele ser la misma: ¿puedo recuperar el dinero?
A veces sí, pero no todas las estafas por Internet son iguales. Una de las primeras cosas que hay que aclarar es quién realizó realmente la operación, cómo se autorizó, dónde terminó el dinero y qué hizo el banco.
Lo primero: qué hacer si acabas de descubrir la estafa
Si la estafa acaba de producirse, hay varias cosas que conviene hacer inmediatamente.
1. Contacta con tu banco. Comunica el fraude y solicita el bloqueo de las tarjetas, credenciales o accesos que puedan haber quedado comprometidos. Si se ha realizado una transferencia, pide que intenten detenerla o recuperar los fondos. No siempre será posible, pero las primeras horas pueden ser importantes.
2. Cambia tus contraseñas. Especialmente las de banca electrónica y correo electrónico. Si instalaste alguna aplicación siguiendo las instrucciones del supuesto banco o permitiste que otra persona accediera remotamente a tu teléfono u ordenador, comunícalo también a la entidad.
3. Guarda todas las pruebas. No borres mensajes ni conversaciones. Conserva los SMS, correos electrónicos, números de teléfono, conversaciones de WhatsApp o Telegram, perfiles utilizados por el estafador, anuncios, justificantes de Bizum, transferencias, extractos bancarios y cualquier comunicación recibida del banco.
4. Presenta denuncia. Aunque desconozcas quién está realmente detrás de la estafa. La cuenta que recibió el dinero, un teléfono, una dirección electrónica o los movimientos posteriores de los fondos pueden permitir avanzar en la investigación.
5. Presenta una reclamación al banco cuando proceda. La denuncia penal y la reclamación frente a la entidad bancaria son cuestiones diferentes. Que hayas presentado denuncia no significa que el banco vaya a estudiar automáticamente su posible responsabilidad.
6. Si la cantidad es importante o el banco rechaza la devolución, estudia el asunto antes de dar el dinero por perdido. Una respuesta negativa del banco no permite saber por sí sola si existe o no una reclamación viable.
Phishing, smishing, vishing y spoofing: distintas formas de conseguir lo mismo
Los nombres pueden resultar extraños, pero el mecanismo suele ser bastante sencillo.
El phishing consiste normalmente en hacerse pasar por una empresa, un banco o una institución para conseguir que la víctima facilite información confidencial o entre en una página falsa. Cuando el engaño se realiza principalmente mediante SMS hablamos habitualmente de smishing; cuando se utiliza una llamada telefónica, de vishing.
Mediante técnicas de spoofing puede incluso manipularse la identificación que aparece en el teléfono o conseguir que un SMS fraudulento aparezca dentro del mismo hilo donde recibimos los mensajes auténticos del banco.
Por eso, en estos asuntos no basta con decir que alguien “facilitó un código”. Lo importante es saber qué código facilitó, qué información recibió, qué creía estar autorizando y quién realizó realmente la operación bancaria.
Me han estafado por Internet: ¿puedo recuperar el dinero?
Sí, en determinados casos puede recuperarse, pero depende mucho de cómo se produjo la estafa y de lo que haya ocurrido después con el dinero.
Puede haber varias vías. La primera es conseguir que la entidad bancaria bloquee los fondos antes de que sean retirados o transferidos nuevamente. La segunda aparece dentro del propio procedimiento penal: si se identifican las cuentas utilizadas para recibir el dinero, puede investigarse a sus titulares y reconstruirse el recorrido de los fondos. Y existe una tercera posibilidad especialmente importante en los fraudes bancarios: que haya base para reclamar también frente al banco.
No son vías incompatibles. En algunos asuntos la investigación penal se dirige contra los autores de la estafa y contra las personas cuyas cuentas fueron utilizadas para recibir o mover el dinero, mientras paralelamente se analiza si la entidad bancaria debe responder por las operaciones realizadas.
¿Tiene que devolverte el dinero el banco si has sufrido phishing?
Esta es probablemente la cuestión que más dudas genera. Y la respuesta correcta no es ni “el banco siempre paga” ni “si diste una clave, has perdido el dinero”.
Si alguien entra en tu banca electrónica y realiza un pago o una transferencia que tú no has autorizado, la normativa de servicios de pago establece una protección importante para el cliente.
Cuando el usuario niega haber autorizado una operación, corresponde al banco acreditar que esa operación fue autenticada, registrada correctamente y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio.
Pero hay un matiz fundamental: que el banco pueda demostrar que se utilizaron correctamente unas credenciales o un código de confirmación no demuestra por sí solo que el cliente autorizara realmente la operación ni que actuara con negligencia grave.
Esto aparece expresamente en el Real Decreto-ley 19/2018, de servicios de pago, y también lo ha confirmado el Tribunal Supremo.
Qué ha dicho el Tribunal Supremo sobre el fraude bancario
La Sentencia del Tribunal Supremo, Sala Primera, 571/2025, de 9 de abril, es especialmente relevante en esta materia.
La resolución analiza un fraude mediante duplicación de la tarjeta SIM (SIM swapping o SIM phishing) que permitió a los delincuentes acceder a la banca electrónica del perjudicado y realizar operaciones no autorizadas.
El Tribunal Supremo confirma un régimen de responsabilidad cuasi objetiva del proveedor de servicios de pago. La entidad bancaria no queda automáticamente liberada por demostrar que las operaciones fueron correctamente autenticadas.
Cuando el cliente niega haber autorizado el pago, el banco debe acreditar que la operación fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio. Si pretende trasladar las pérdidas al usuario, deberá además probar que este actuó fraudulentamente o con negligencia grave.
En términos prácticos, que “se utilizó su contraseña y se introdujo el código enviado por SMS” no debería ser, por sí solo, el final del análisis.
La sentencia es plenamente identificable: STS 571/2025, de 9 de abril.
Y en Valencia ya existen resoluciones aplicando este criterio
La Audiencia Provincial de Valencia, Sección 8.ª, dictó el 14 de abril de 2026 la Sentencia 384/2026, en un procedimiento frente a BBVA.
Una empresa reclamaba 4.984 euros después de haber sido víctima de un fraude informático. La demanda había sido desestimada en primera instancia, pero la Audiencia Provincial revocó aquella decisión y condenó a BBVA a abonar los 4.984 euros, más los intereses legales desde la demanda.
La resolución considera que no se había acreditado una negligencia grave de la empresa perjudicada. También señala que la entidad bancaria no fue capaz de detectar automáticamente el fraude ni generó una alerta o bloqueo pese al carácter anómalo de la operación.
La propia Audiencia de Valencia cita expresamente la Sentencia 571/2025 del Tribunal Supremo y aplica su doctrina sobre la responsabilidad de las entidades proveedoras de servicios de pago.
La resolución también es plenamente identificable: SAP Valencia, Sección 8.ª, 384/2026, de 14 de abril.
Esto no significa que cualquier persona que haya sufrido phishing vaya a recuperar automáticamente el dinero. Existen también resoluciones que han dado la razón al banco cuando las circunstancias permiten apreciar una conducta gravemente negligente del cliente.
¿Qué significa exactamente actuar con negligencia grave?
No existe una regla según la cual haber sido engañado equivalga automáticamente a haber actuado con negligencia grave. Los estafadores precisamente diseñan estas operaciones para resultar creíbles, pero tampoco cualquier engaño excluye la responsabilidad del cliente.
No es lo mismo introducir unas credenciales en una página prácticamente idéntica a la del banco después de recibir un SMS aparentemente auténtico que entregar varios códigos a un desconocido después de recibir mensajes que indican claramente que se está autorizando una transferencia y advierten de que esos códigos no deben facilitarse a nadie.
Entre ambos extremos pueden darse multitud de situaciones. Por eso interesa analizar qué mensajes recibió el cliente, qué información aparecía en ellos, qué operación creía estar autorizando, si era habitual realizar transferencias de ese importe y qué sistemas de seguridad utilizó el banco.
“Pero fui yo quien hizo la transferencia”: ¿puedo reclamar igualmente?
Aquí hay que distinguir dos situaciones.
En la primera, un delincuente consigue las credenciales del cliente, entra en su banca electrónica y realiza una transferencia de 8.000 euros. El titular de la cuenta nunca decidió realizar esa operación.
En la segunda, alguien llama al cliente haciéndose pasar por su banco y le convence de que debe transferir 8.000 euros a una supuesta “cuenta segura”. Esta vez es el propio cliente quien entra en su aplicación y realiza la transferencia.
En ambos casos puede existir una estafa, pero la posible responsabilidad del banco no se analiza exactamente igual.
Cuando es la propia víctima quien ordena conscientemente la transferencia, aunque lo haga porque ha sido engañada acerca de su verdadera finalidad, la reclamación frente a la entidad se vuelve más compleja. Habrá que estudiar la forma en que se produjo la suplantación, la información que recibió el cliente, las medidas de autenticación, las características de la operación y los mecanismos antifraude existentes.
Lo importante es evitar conclusiones automáticas. Ni “como hice yo la transferencia, no puedo reclamar nada” ni “como me engañaron, el banco tiene que devolverme el dinero” son correctas como regla general.
¿Qué pasa si el banco ya ha rechazado mi reclamación?
Que el banco haya enviado una respuesta rechazando la devolución no significa necesariamente que el asunto esté terminado.
Hay que revisar qué argumentos utiliza. En muchas ocasiones la entidad se apoya precisamente en que la operación fue autenticada mediante las credenciales o códigos correctos, pero autenticación y autorización no son exactamente lo mismo.
También habrá que comprobar si el banco analiza realmente las circunstancias concretas de la operación o se limita a emitir una respuesta estandarizada. Si la cantidad perdida es relevante, merece la pena revisar esa respuesta antes de asumir que no existe ninguna otra posibilidad.
¿Qué ocurre con las estafas por Bizum?
Bizum es simplemente el medio utilizado para mover el dinero y la estafa puede adoptar muchas formas.
Una de las más frecuentes consiste en el llamado Bizum inverso. Por ejemplo: anuncias un objeto en Internet y aparece un supuesto comprador. Te dice que ya ha enviado el dinero y que únicamente tienes que aceptar la operación, pero en realidad no te ha enviado un pago, sino una solicitud de dinero. Si la aceptas sin leer correctamente la pantalla, eres tú quien le paga.
También son habituales las estafas en las que alguien suplanta a un familiar mediante WhatsApp y pide urgentemente un Bizum. Otra posibilidad es que un tercero acceda directamente a la banca electrónica y realice Bizum sin conocimiento del titular.
De nuevo, la diferencia es importante: no es lo mismo enviar voluntariamente un Bizum porque alguien te ha engañado que descubrir una operación realizada sin tu autorización.
Me han estafado por Wallapop, Milanuncios o una plataforma de compraventa
También es una consulta muy frecuente.
El supuesto vendedor ofrece un teléfono, unas entradas, un ordenador o cualquier otro producto. La víctima hace el pago y, una vez recibido el dinero, el vendedor desaparece.
O sucede al revés: el usuario publica un objeto y el supuesto comprador le envía un enlace para “recibir el pago”. Ese enlace lleva a una página falsa donde termina facilitando los datos de su tarjeta o de su banca online.
Que la estafa se haya producido a través de Wallapop, Milanuncios, Vinted, Instagram o cualquier otra plataforma no cambia lo fundamental. Hay que conservar el anuncio, el perfil utilizado, las conversaciones, la forma de pago y cualquier dato disponible sobre el destinatario del dinero.
¿Sirve de algo denunciar una estafa por Internet?
Sí.
La denuncia no garantiza que se vaya a identificar al autor ni que vaya a recuperarse el dinero, pero permite iniciar actuaciones que la víctima no puede realizar por su cuenta.
Una transferencia permite identificar al menos una cuenta receptora. Un Bizum deja igualmente un rastro bancario. Un número de teléfono puede aportar datos útiles para la investigación.
Además, muchas estafas utilizan cuentas bancarias de terceras personas para recibir los fondos. Aquí aparecen las llamadas mulas bancarias, sobre las que ya hablamos en nuestro artículo “Mulas bancarias: cómo evitar estafas por Internet y qué hacer si ya te han utilizado”.
El titular de la primera cuenta receptora no tiene por qué ser la persona que habló con la víctima. Puede formar parte de la organización, haber aceptado conscientemente recibir dinero a cambio de una comisión o incluso haber sido engañado también. Pero esa cuenta puede convertirse en el primer punto desde el que reconstruir el recorrido del dinero.
¿Qué ocurre si el estafador está en otro país?
Que la persona que dirige la estafa esté fuera de España complica la investigación, pero no significa que denunciar sea inútil.
Muchas organizaciones utilizan cuentas bancarias, teléfonos o intermediarios situados en España. El dinero también puede circular previamente por varias cuentas antes de llegar a quienes dirigen la estafa.
En los fraudes más sofisticados, los fondos salen al extranjero o terminan convertidos en criptoactivos. Cuanto más avanza esa cadena, más difícil resulta recuperar el dinero. Precisamente por eso conviene actuar cuanto antes.
Qué pruebas tienes que guardar si te han estafado
En una estafa por Internet, las pruebas digitales pueden ser fundamentales. Guarda:
- los SMS recibidos;
- los correos electrónicos;
- las conversaciones completas de WhatsApp, Telegram o cualquier otra aplicación;
- los números de teléfono utilizados;
- el nombre de los perfiles;
- los anuncios;
- las direcciones web;
- las capturas de pantalla;
- los justificantes de Bizum;
- las transferencias bancarias;
- los extractos de cuenta;
- los mensajes enviados por el banco;
- las llamadas recibidas y su horario aproximado;
- las reclamaciones presentadas;
- la respuesta del banco;
- y la denuncia.
No conserves únicamente el mensaje que aparentemente demuestra la estafa. Interesa poder reconstruir toda la secuencia.
¿Cómo se reclama al banco después de una estafa?
Si existen operaciones que no reconoces o consideras que la entidad bancaria puede tener responsabilidad, el primer paso es presentar una reclamación ante el Servicio de Atención al Cliente del banco.
En las reclamaciones relacionadas con servicios de pago, como transferencias o tarjetas, la entidad dispone con carácter general de 15 días hábiles para responder.
En situaciones excepcionales, cuando no pueda contestar dentro de ese plazo por razones ajenas a su voluntad, deberá enviar una respuesta provisional explicando el retraso. En cualquier caso, la respuesta definitiva no puede demorarse más de un mes.
Si el banco rechaza la reclamación, la estima solo parcialmente o no responde dentro del plazo correspondiente, puede presentarse posteriormente una reclamación ante el Banco de España.
El informe del Banco de España puede resultar muy útil, pero no funciona igual que una sentencia judicial ni condena directamente al banco a pagar.
¿Cuánto tiempo tengo para reclamar una operación bancaria no autorizada?
La normativa establece, con carácter general, un plazo máximo de trece meses desde el adeudo para comunicar al proveedor de servicios de pago una operación no autorizada o ejecutada incorrectamente y obtener su rectificación.
Pero no hay ninguna ventaja en esperar. Si acabas de descubrir una estafa bancaria, debes comunicarla cuanto antes, tanto por la posibilidad de intentar bloquear el dinero como porque la normativa exige actuar sin demora injustificada desde que se tiene conocimiento de la operación.
¿Y si han utilizado mi identidad o mi cuenta bancaria?
A veces la persona que pide asesoramiento no ha perdido dinero. El problema es diferente.
Puede descubrir que alguien ha abierto una cuenta utilizando sus datos, ha contratado un préstamo a su nombre o ha utilizado su cuenta para recibir dinero procedente de otras víctimas.
También puede haber aceptado una supuesta oferta de trabajo consistente en recibir transferencias y reenviar después el dinero, quedándose con una pequeña comisión. Meses más tarde recibe una llamada de la Policía o una citación judicial.
En ese momento ya no estamos únicamente ante una estafa sufrida por Internet: la persona puede aparecer dentro de un procedimiento penal como investigada.
Por eso explicábamos en nuestro artículo sobre mulas bancarias que prestar una cuenta o mover dinero de terceros puede tener consecuencias penales muy serias aunque quien lo haga no sea el cerebro de la estafa.
¿Necesito abogado para denunciar una estafa por Internet?
No necesitas abogado para acudir a Policía Nacional, Guardia Civil o al juzgado y presentar una denuncia.
Otra cosa es que interese intervenir jurídicamente después, por ejemplo si has perdido una cantidad importante, el banco ha rechazado devolverte el dinero, existen varias transferencias o cuentas receptoras, se ha identificado a alguno de los implicados, el procedimiento penal ya está abierto, quieres reclamar el perjuicio económico, existen dudas sobre la responsabilidad de la entidad bancaria o has recibido una citación relacionada con el movimiento del dinero.
En esas situaciones puede resultar útil estudiar el asunto antes de decidir qué vía seguir.
¿Has sufrido una estafa? ¿Qué podemos hacer desde BLITZ ABOGADOS?
Lo primero es reconstruir lo ocurrido: cómo empezó el contacto, qué mensajes recibiste, qué información facilitaste, quién realizó materialmente las operaciones, cómo fueron autorizadas, dónde terminó el dinero, qué respondió el banco y qué actuaciones se han realizado ya ante Policía, Guardia Civil o el juzgado.
A partir de ahí podemos valorar si el asunto exige centrar los esfuerzos en la investigación penal, reclamar frente a la entidad bancaria, personarse en un procedimiento ya abierto o combinar varias vías.
En BLITZ ABOGADOS trabajamos con asuntos penales y bancarios en Valencia y también podemos estudiar este tipo de procedimientos cuando la persona afectada reside en otra provincia.
Si has sufrido una estafa por phishing, Bizum, transferencia, una falsa llamada del banco o una suplantación de identidad y quieres saber si existe una vía razonable para intentar recuperar el dinero, puedes contactar con nosotros y revisar el caso antes de decidir cómo continuar.
Preguntas frecuentes sobre estafas por Internet
¿Puedo recuperar el dinero si he sufrido phishing?
En algunos casos, sí. Puede conseguirse mediante el bloqueo temprano de los fondos, dentro del procedimiento penal o mediante una reclamación frente al banco cuando existen operaciones no autorizadas. La posibilidad real depende de cómo se produjo el fraude y de qué ocurrió después con el dinero.
¿El banco tiene que devolverme siempre el dinero de un phishing?
No. En las operaciones no autorizadas existe un régimen legal especialmente protector para el cliente, pero el banco puede quedar exonerado en determinados supuestos, especialmente si demuestra fraude o negligencia grave. Además, las transferencias realizadas conscientemente por la propia víctima bajo engaño presentan un análisis diferente.
¿Si facilité un código SMS ya no puedo reclamar?
No necesariamente. El Tribunal Supremo ha señalado que la correcta utilización de credenciales o mecanismos de autenticación no demuestra por sí sola que la operación estuviera autorizada ni que existiera negligencia grave.
¿Qué hago si me han estafado por Bizum?
Comunícalo inmediatamente a tu banco, guarda el justificante y las conversaciones relacionadas con el fraude y presenta denuncia. Si no reconoces la operación o existen motivos para analizar la actuación de la entidad bancaria, puede ser conveniente presentar también una reclamación formal.
¿Sirve denunciar si el dinero ya ha salido de mi cuenta?
Sí. La denuncia puede permitir investigar las cuentas receptoras, identificar a sus titulares y reconstruir el movimiento posterior del dinero.
¿Qué pasa si el dinero llegó a la cuenta de una mula bancaria?
La investigación puede dirigirse contra el titular de esa cuenta para determinar por qué recibió el dinero, qué conocimiento tenía sobre su origen y qué hizo posteriormente con él. Esa cuenta puede además servir como primer punto para seguir el recorrido de los fondos.
¿Cuánto tiempo tengo para reclamar una operación no autorizada?
Con carácter general, la normativa establece un máximo de trece meses desde el adeudo para comunicar y solicitar la rectificación de una operación no autorizada o ejecutada incorrectamente. En la práctica, debe comunicarse al banco en cuanto se descubra.
¿Puedo reclamar si fui yo quien hizo la transferencia porque me engañaron?
Puede existir una reclamación, pero el análisis es más complejo que cuando un tercero realiza directamente una operación sin conocimiento del titular. Hay que estudiar cómo se produjo el engaño, las medidas de autenticación, la actuación del banco y las características concretas de la transferencia.
Miguel Ángel Sanchis
Abogado de BLITZ ABOGADOS · ICAV 16.297
Llámanos o escríbenos por WhatsApp o si lo prefieres, rellena el siguiente formulario y nos pondremos en contacto contigo lo antes posible.
