Phishing y smishing: cómo funciona la estafa y cómo recuperar tu dinero

Cómo funciona el phishing paso a paso

El esquema se repite con pocas variaciones:

1. El gancho. Recibes un SMS o un email que parece de tu entidad: «Hemos detectado un acceso no autorizado», «Tu cuenta será bloqueada en 24 horas» o «Tienes un paquete retenido». A veces el SMS aparece en el mismo hilo que los mensajes reales del banco, porque los estafadores falsifican el remitente.
2. La web falsa. El enlace lleva a una copia casi perfecta de la banca online, con un dominio parecido pero distinto.
3. La captura de datos. Introduces usuario y contraseña; después la web te pide el código SMS «para verificar tu identidad». En realidad ese código autoriza una transferencia, un pago con tarjeta o el alta de tu tarjeta en un móvil ajeno.
4. El vaciado. En pocos minutos mueven el dinero a cuentas de terceros, a menudo mulas que lo reenvían o lo convierten en cripto.

Una variante frecuente combina el SMS con una llamada posterior del falso empleado del banco, que remata el engaño.

Señales para detectarlo antes de caer

• Enlaces acortados o dominios raros (guiones, letras cambiadas, terminaciones extrañas).
• Amenazas de bloqueo inminente o de cargos que debes «cancelar» ya.
• Te piden claves completas, el PIN de la tarjeta o el código que acabas de recibir. Ningún banco lo hace.
• El código SMS describe una operación que no estás haciendo: léelo entero antes de usarlo.

Qué hacer si ya has dado tus datos

El tiempo cuenta. En este orden:

1. Llama al banco y bloquea tarjetas y acceso online. Pide que intenten frenar las transferencias pendientes y anota la hora y el número de incidencia.
2. Cambia contraseñas de la banca y del correo, y revisa si han dado de alta tu tarjeta en otro dispositivo.
3. Guarda las pruebas: capturas del SMS o email con su remitente, la dirección de la web falsa y los movimientos.
4. Denuncia ante la Policía o la Guardia Civil. Te ayudamos a preparar una denuncia por ciberestafa con las pruebas ordenadas.
5. Reclama por escrito al banco la devolución de las operaciones no autorizadas.

Si la urgencia ya ha pasado, el artículo qué hacer si el banco no te devuelve el dinero de la cuenta vaciada explica cómo seguir.

Qué puedes reclamar y a quién

La pieza clave es que tú no autorizaste esas operaciones. Aunque introdujeras tus datos engañado, el pago lo ordenó un tercero. En ese caso el banco debe devolver el importe, con una franquicia máxima de 50 €, salvo que pruebe que actuaste con negligencia grave o con fraude. Que se usaran tus credenciales no basta por sí solo para demostrarlo.

• Al banco: la reclamación al banco por fraude ante su servicio de atención al cliente, que tiene 15 días hábiles para contestar (35 en casos excepcionales).
• Al Banco de España: si deniega o no responde, la reclamación ante el Banco de España, cuyo informe no es vinculante pero pesa.
• En juicio: si el banco se mantiene en su negativa, cabe demanda civil. Nuestro equipo de fraude bancario lo valora sin coste.

Puedes hacer una primera comprobación con el simulador de fraude bancario.

Normativa y plazos que debes conocer

El Real Decreto-ley 19/2018 de servicios de pago regula esta materia. Sus artículos 43 a 46 fijan que debes comunicar la operación no autorizada sin demora injustificada y, como máximo, en 13 meses desde el cargo; que corresponde al banco probar que la operación fue autenticada y registrada correctamente; y que, si no lo hace o no demuestra tu negligencia grave, debe devolverla.

Además, el phishing es un delito de estafa del artículo 248 del Código Penal. La vía penal sirve para identificar a los autores y a los titulares de las cuentas destino, pero la recuperación más rápida suele venir del banco.

Errores frecuentes y cómo te ayudamos

Muchas reclamaciones se debilitan por errores evitables en los primeros días:

• Esperar a ver si el banco lo soluciona solo. Una llamada no es una reclamación. Pide siempre la respuesta por escrito y guarda el número de incidencia.
• Admitir por teléfono que «fue culpa tuya». Describe los hechos tal como ocurrieron, sin valoraciones que luego el banco use como prueba de negligencia.
• Borrar el SMS o el email. Es la prueba principal de lo creíble que era el engaño.
• Firmar documentos del banco en los que reconoces haber autorizado las operaciones.
• Dejar pasar los meses. El plazo máximo es de 13 meses, pero el retraso se usa en tu contra.

En Altum Iuris revisamos tu caso gratis, redactamos la reclamación con los argumentos que suelen pesar, controlamos los plazos y, si el banco no devuelve el dinero, valoramos la demanda con presupuesto cerrado por escrito. Si además te duplicaron la tarjeta SIM para recibir los códigos, consulta la guía de SIM swapping.