Estafa online: cómo denunciarla y cuándo el banco está obligado a devolverte el dinero

Te han sacado dinero: un cargo que no reconoces, un Bizum que hiciste tú creyendo que comprabas algo, una transferencia a una falsa plataforma de inversión. Que lo recuperes depende de dos cosas: si la operación fue autorizada por ti, y si te mueves dentro de unos plazos que están escritos, con número de artículo, en normas que puedes consultar.

Primero el banco, después la denuncia

El artículo 41.b) del Real Decreto-ley 19/2018, de servicios de pago, te obliga a notificar «sin demora indebida en cuanto tenga conocimiento de ello» el extravío, sustracción o utilización no autorizada de un instrumento de pago; si incumples esa obligación de forma grave, puedes acabar soportando tú la pérdida (art. 46.1). El tope para reclamar una operación no autorizada es de trece meses desde el adeudo (art. 43.1), pero cuanto más tardes, más fácil le resulta al banco alegar negligencia. Usa un canal que deje rastro.

La pregunta que lo decide todo: ¿autorizaste tú el pago?

Si la operación no fue autorizada —alguien usó tu tarjeta o tus credenciales sin que tú validaras nada— la ley es dura con el banco. El artículo 45.1 le obliga a devolverte el importe «de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente» a aquel en que se lo notificaste, y solo puede retrasarlo si sospecha fraude con motivos razonables y los comunica por escrito al Banco de España.

La carga de la prueba no es tuya. Según el artículo 44.1, corresponde al proveedor demostrar que la operación fue autenticada, registrada con exactitud y contabilizada. El 44.2 añade lo que conviene citar literalmente: el mero registro del uso del instrumento de pago no basta para acreditar que tú la autorizaste ni que actuaste con negligencia grave; y el 44.3 pone en el banco la prueba de tu fraude o negligencia grave. Tu exposición máxima es de 50 euros (art. 46.1), y ninguna si el banco no exigió autenticación reforzada, salvo que actuaras de forma fraudulenta (art. 46.2).

Si la operación sí estaba autorizada —hiciste tú el Bizum, introdujiste tú el código del SMS— el artículo 45 no se aplica. Es lo que explica que tantas reclamaciones se caigan: la norma protege frente a pagos que no hiciste, no frente a pagos que hiciste por un motivo falso. Aun así, si te suplantaron al banco y te llevaron a firmar algo distinto de lo que creías, la discusión vuelve al artículo 44: qué operación aparecía en el SMS OTP. El Banco de España exige que su contenido «especifique la operación que se va a realizar»; un OTP genérico juega a tu favor.

La denuncia: dónde, cómo y qué la frena

Puedes denunciar ante el Ministerio Fiscal, el juzgado de instrucción o cualquier funcionario de policía (art. 264 LECrim). Escrita o verbal, debe contener tu identificación y la narración circunstanciada del hecho, y la de autores y testigos si los conoces (art. 265).

El artículo 266 LECrim, vigente en esta redacción desde el 3 de abril de 2025, excluye de la vía telemática los hechos con violencia o intimidación, los que tienen autor conocido, aquellos con testigos, los denunciados por menores, el delito flagrante y los de naturaleza violenta o sexual. Léelo otra vez: autor conocido. Si sabes quién te estafó, la denuncia online no vale.

Las dos vías oficiales no funcionan igual. En la Oficina Virtual de Denuncias de la Policía Nacional rellenas el formulario, obtienes un número de referencia y tienes que firmar la denuncia en la comisaría que designes, nunca más tarde de 72 horas: el portal advierte de que «la denuncia carecerá de validez jurídica si no ha sido firmada en Comisaría por el denunciante». La Guardia Civil admite entre sus hechos denunciables las «estafas y cargos fraudulentos cometidos a través de medios informáticos», se firma electrónicamente y no exige ratificación.

El artículo que explica por qué no te llaman nunca

El artículo 284.2 LECrim establece que, cuando no exista autor conocido, la Policía Judicial conservará el atestado a su disposición sin enviárselo al juzgado ni a la fiscalía, salvo delitos graves contra las personas o de corrupción, diligencia con resultado pasadas 72 horas, o petición del fiscal o del juez. Y obliga a comunicarte que, si no se identifica al autor en 72 horas, las actuaciones no se remitirán al juzgado, «sin perjuicio de su derecho a reiterar la denuncia ante la fiscalía o el juzgado de instrucción».

Ahí está tu palanca. Si tienes datos que permitan identificar al autor —IBAN de destino, titular del cobro, teléfono del Bizum, dominio de la web—, reitera la denuncia por escrito ante el juzgado de instrucción aportándolos. Una denuncia con línea de investigación pesa distinto que un atestado sin autor.

Qué delito es y cuánto tiempo tienes

La estafa clásica está en el artículo 248 del Código Penal: prisión de seis meses a tres años, o multa de uno a tres meses si lo defraudado no excede de 400 euros. Ese artículo cambió con la Ley Orgánica 1/2026, en vigor desde el 10 de abril de 2026: la rebaja ya no se aplica si concurre alguna circunstancia del artículo 250, ni al multirreincidente.

La estafa informática vive en el artículo 249, redactado por la LO 14/2022 y vigente desde el 12 de enero de 2023: misma pena para quien manipula un sistema de información y logra una transferencia no consentida, y para quien usa de forma fraudulenta tarjetas u otros instrumentos de pago distintos del efectivo. Detalle relevante: el 249 no contiene la cláusula de los 400 euros; esa atenuación está solo en el 248. El artículo 250 sube la pena a uno a seis años si la defraudación supera los 50.000 euros o afecta a un elevado número de personas; por encima de 250.000, de cuatro a ocho.

Si el banco te dice que no

Primero, el servicio de atención a la clientela de la entidad: en servicios de pago tiene 15 días hábiles para responder a todas las cuestiones planteadas, y ni con respuesta provisional el plazo total excede de un mes (art. 69 RDL 19/2018).

Después, el Departamento de Conducta de Entidades del Banco de España. El artículo 30.3.a) de la Ley 44/2002 exige acreditar que reclamaste antes por escrito ante el SAC y que transcurrió el plazo sin resolución, o que te la denegaron. Sin ese requisito te inadmiten: en 2024 tramitó 56.099 reclamaciones e inadmitió 45.037, un 7 % por falta de reclamación previa ante el SAC y otro 5 % por documentación incompleta. Merece la pena hacerlo bien: ese año el fraude fue la materia del 14 % de las reclamaciones, el índice de rectificación llegó al 79 % y se devolvieron 5.074.361,78 euros, con una media de 458,72 euros por expediente y 47 días de tramitación.

Ahora la parte incómoda: el Banco de España resuelve mediante informes motivados que, según el artículo 30.2 de la Ley 44/2002, «no tendrán en ningún caso carácter de acto administrativo recurrible». Un informe favorable es una palanca potente —de ahí ese 79 %—, pero no es un título con el que ejecutar el cobro; si la entidad no rectifica, queda la vía civil. Distinto es el Defensor de la Clientela: sus decisiones favorables al cliente sí vinculan a la entidad.

Modelo de reclamación por operación no autorizada

Sustituye los corchetes y envíalo por un canal con acuse de recibo. Adjunta el extracto con el cargo marcado y el justificante de la denuncia.

AL SERVICIO DE ATENCIÓN A LA CLIENTELA DE [ENTIDAD]

D./D.ª [NOMBRE Y APELLIDOS], DNI [NÚMERO], domicilio en [DIRECCIÓN],
correo [EMAIL] y teléfono [TELÉFONO], titular de la cuenta [IBAN] y de
la tarjeta terminada en [4 DÍGITOS], EXPONE:

PRIMERO.- Que el día [FECHA] se registraron las siguientes operaciones
que NO he autorizado ni consentido:
  - [FECHA] | [BENEFICIARIO O COMERCIO] | [IMPORTE] €
  - [FECHA] | [BENEFICIARIO O COMERCIO] | [IMPORTE] €
  Total reclamado: [IMPORTE TOTAL] €

SEGUNDO.- Que tuve conocimiento el [FECHA] y lo notifiqué el [FECHA]
mediante [CANAL], sin demora injustificada y dentro del plazo del
artículo 43.1 del Real Decreto-ley 19/2018, de servicios de pago.

TERCERO.- Que no he facilitado voluntariamente mis credenciales de
seguridad personalizadas ni he incumplido el artículo 41 de esa norma.
[DOS O TRES LÍNEAS SOBRE QUÉ OCURRIÓ]

CUARTO.- Que conforme al artículo 44.1 corresponde a esa entidad probar
que las operaciones fueron autenticadas, registradas con exactitud y
contabilizadas; que conforme al 44.2 el mero registro de la utilización
del instrumento de pago no basta para acreditar que yo las autorizase ni
que actuase con negligencia grave; y que conforme al 44.3 esa prueba le
corresponde al proveedor.

SOLICITO:

1. La devolución íntegra de [IMPORTE TOTAL] €, con fecha de valor no
   posterior a la del adeudo, conforme al artículo 45.1, a más tardar al
   final del día hábil siguiente a la recepción de este escrito.
2. Copia de los registros de autenticación de cada operación, con el
   método aplicado y el contenido literal de los SMS OTP o notificaciones
   push empleados.
3. Respuesta motivada por escrito en el plazo de quince días hábiles del
   artículo 69 de la misma norma.

Transcurrido ese plazo sin respuesta, o si es desfavorable, acudiré al
Departamento de Conducta de Entidades del Banco de España (art. 30 de la
Ley 44/2002).

En [LOCALIDAD], a [FECHA].
Fdo.: [NOMBRE Y APELLIDOS]

Se acompaña: [EXTRACTO BANCARIO / CAPTURAS / COPIA DE LA DENUNCIA]

Lo que no vas a recuperar

Criptomonedas. El RDL 19/2018 solo protege operaciones sobre «fondos», definidos en su artículo 3.19 como billetes y monedas, dinero bancario o dinero electrónico. Los criptoactivos no entran ahí: ningún derecho de devolución.

Transferencias que ordenaste tú al IBAN correcto del estafador. El artículo 59.1 es explícito: ejecutada conforme al identificador único, la orden se considera correctamente ejecutada. El deber de esforzarse en recuperar los fondos del 59.2 se prevé para el identificador incorrecto. Pide igualmente el recall: si el dinero sigue en la cuenta de destino, a veces funciona.

Los «recuperadores» que te escriben después. INCIBE ha documentado el fraude recovery room: se hacen pasar por abogados o agencias gubernamentales y piden un pago anticipado en concepto de tasas, impuestos o gastos legales. Nadie que cobre por adelantado garantizando la recuperación es legítimo. Ante la duda, 017.

Preguntas rápidas

¿Puedo denunciar por internet si sé quién me estafó?
No: el artículo 266 LECrim excluye los hechos con autor conocido. Tendrás que acudir presencialmente.

Me estafaron 180 euros. ¿Merece la pena?
Es delito leve (art. 248 CP) y prescribe al año (art. 131.1 CP). Denuncia igualmente: la acumulación de denuncias por el mismo IBAN o dominio es lo que permite reconstruir una estafa masiva, que ya no sería leve.

El banco dice que introduje el código del SMS y por eso no devuelve nada.
Exige copia del contenido literal de ese SMS. Si no especificaba qué operación autorizabas ni su importe, tienes un argumento sólido: es el criterio del Banco de España en su Memoria de 2024.

¿Puedo personarme en el procedimiento penal?
Sí, antes del trámite de calificación, ejercitando además las acciones civiles (art. 110 LECrim). Y aunque no te persones, no se entiende que renuncies a la indemnización que pueda acordarse en sentencia.

Te puede interesar

• Fraudes y tiendas online falsas: los plazos que te amparan y qué hacer cuando el vendedor desaparece
• Denuncia penal paso a paso: qué ocurre desde que la presentas hasta que el juzgado decide

Fuentes oficiales

• Código Penal, texto consolidado: arts. 248 (estafa y delito leve de 400 €, LO 1/2026), 249 (estafa informática, LO 14/2022), 250 y 131.1.
• Ley de Enjuiciamiento Criminal, texto consolidado: arts. 264 y 265 (forma de la denuncia), 266 (exclusiones de la vía telemática), 284.2 (atestado sin autor conocido) y 110.
• Real Decreto-ley 19/2018, de servicios de pago: arts. 3.19, 41, 43.1, 44, 45.1, 46, 48, 49, 59 y 69.
• Ley 44/2002, de Reforma del Sistema Financiero: arts. 30.2 y 30.3.a).
• Orden ECE/1263/2019, que modifica la Orden ECO/734/2004 sobre servicios de atención al cliente.
• Oficina Virtual de Denuncias de la Policía Nacional: hechos no denunciables y firma en comisaría en 72 horas.
• Denuncia electrónica de la Guardia Civil: incluye las «estafas y cargos fraudulentos cometidos a través de medios informáticos».
• Banco de España: cómo reclamar: plazos del SAC y dirección del Departamento de Conducta de Entidades (C/ Alcalá 48, 28014 Madrid).
• Sede electrónica del Banco de España: resolución en 90 días para consumidores; inadmisión pasado un año desde la reclamación al SAC.
• Memoria de Reclamaciones 2024 del Banco de España (PDF): 56.099 expedientes, rectificación del 79 % y criterio sobre los SMS OTP.
• INCIBE: cómo denunciar un fraude y Línea 017, gratuita y confidencial de 8:00 a 23:00 todo el año, también por WhatsApp (900 116 117) y Telegram (@INCIBE017).
• INCIBE: el fraude «recovery room».

Escrito por Matías Lloret, autor de Soluciones Jurídicas MLR. Última revisión: 1 de septiembre de 2026, contrastada con los textos consolidados del BOE del Código Penal, la Ley de Enjuiciamiento Criminal, el Real Decreto-ley 19/2018 y la Ley 44/2002, y con los portales oficiales de la Policía Nacional, la Guardia Civil, el Banco de España e INCIBE. Este artículo es divulgación jurídica general y no constituye asesoramiento legal: para un caso concreto, consulta con un abogado.