Fraude en transferencias bancarias: qué hacer en 2026

Si detecta una transferencia que no reconoce o descubre que ha enviado fondos a una cuenta manipulada por un tercero, el tiempo importa. Pero actuar deprisa no significa actuar sin método: hay que intentar contener la salida del dinero, preservar la prueba y formular correctamente la reclamación.

Según la Memoria de Reclamaciones 2025 del Banco de España, el fraude con tarjetas y transferencias fue la principal causa de las reclamaciones admitidas en 2025, con casi el 28 % del total. En el primer cuatrimestre de 2026, las reclamaciones crecieron más de un 50 % interanual, principalmente por pagos vinculados a fraude o estafa. Son datos de actividad, no una previsión sobre un caso concreto.

Respuesta breve: comunique el incidente de inmediato al banco por un canal oficial; solicite el bloqueo de credenciales y el intento de recuperación o rastreo; conserve mensajes, correos, alertas y registros; denuncie cuando proceda; y presente una reclamación escrita que identifique con precisión qué operaciones niega haber autorizado. No espere a reunir un expediente perfecto para avisar al banco.

Primero: no toda transferencia fraudulenta es jurídicamente igual

Antes de atribuir responsabilidades conviene reconstruir quién emitió técnicamente la orden, cómo se obtuvo el acceso y qué vio la persona usuaria antes de confirmar. Tres situaciones que pueden parecer idénticas desde el saldo de la cuenta requieren análisis distintos:

• Operación no autorizada. Un tercero accede a la banca digital o utiliza las credenciales sin consentimiento del titular y ordena el pago.
• Transferencia realizada bajo engaño. La propia persona usuaria, un empleado o un apoderado ordena el pago porque alguien suplanta al banco, a un directivo, a un proveedor o a un cliente. Es frecuente en el fraude de correo empresarial comprometido o BEC.
• Error o ejecución defectuosa. La orden contiene un dato equivocado o se ejecuta de modo distinto a lo solicitado.

La distinción es decisiva. El artículo 36 del Real Decreto-ley 19/2018 considera autorizada una operación cuando el ordenante ha consentido su ejecución. Pero que el sistema haya autenticado una operación no demuestra necesariamente que existiera autorización: el artículo 44 atribuye al proveedor la carga de acreditar la autenticación, el registro y la contabilización, y precisa que el mero uso del instrumento de pago no basta necesariamente para probar la autorización, el fraude o la negligencia grave del usuario.

El Tribunal Supremo examinó operaciones ejecutadas por un tercero tras una suplantación en la sentencia 571/2025, de 9 de abril (ROJ STS 1671/2025), que subraya la comunicación diligente del cliente y la respuesta del proveedor. El análisis puede ser distinto cuando el ordenante facilita un IBAN manipulado. La sentencia 1733/2025, de 27 de noviembre (ROJ STS 5317/2025), conforme al régimen temporal del caso, descartó que la mera discordancia entre nombre e IBAN impusiera por sí sola nuevas comprobaciones al banco.

Desde el 9 de octubre de 2025 existe, sin embargo, un dato adicional que debe examinarse: la verificación del beneficiario. Por ello, en un incidente actual importa conservar qué comprobación se mostró, qué advertencia apareció y qué decisión se adoptó.

Qué hacer en las primeras horas

1. Contactar con el banco por un canal oficial

Utilice el teléfono de fraude, la aplicación o la oficina que la entidad publique oficialmente. Pida que se registre la hora del aviso y solicite, según el caso, el bloqueo de la banca digital o de las credenciales afectadas, la identificación de las operaciones discutidas y el intento de recuperación, retrocesión o rastreo de los fondos. Una orden recibida por el proveedor del ordenante es, con carácter general, irrevocable; pedir su recuperación no garantiza que pueda revertirse, pero la demora reduce las opciones prácticas.

2. Preservar la evidencia antes de limpiar los sistemas

Guarde el justificante de la operación, las alertas del banco, los SMS completos, el registro de llamadas, las conversaciones y las capturas con fecha y hora. Si el incidente llegó por correo, conserve el mensaje original con sus cabeceras y adjuntos; reenviarlo o copiar solo su texto puede eliminar información técnica útil. Prepare una cronología simple: quién recibió el contacto, qué instrucciones siguió, desde qué dispositivo, cuándo avisó al banco y qué respuesta obtuvo.

En una empresa, coordine esta preservación con el responsable técnico. Revise sesiones activas, reglas de reenvío, delegaciones y cambios recientes en cuentas de proveedores. Después de asegurar la evidencia, revoque sesiones y cambie credenciales. El INCIBE recomienda contactar primero con la entidad, conservar el correo con las cabeceras originales, reportar el incidente y denunciarlo.

3. Valorar si existe también una brecha de datos

Si un tercero ha accedido a un buzón corporativo que contiene datos personales, no existe solo un problema bancario. Debe documentarse el incidente y evaluarse el riesgo para las personas. La AEPD recuerda que, cuando la brecha probablemente entrañe riesgo para los derechos y libertades, la notificación a la autoridad debe hacerse dentro de las 72 horas desde que la organización tiene constancia. No toda intrusión exige comunicar a los afectados, pero toda brecha de datos personales debe analizarse y documentarse.

4. Denunciar y evitar daños posteriores

Cuando los hechos presenten apariencia delictiva, formule denuncia ante las Fuerzas y Cuerpos de Seguridad y conserve una copia. Aporte el documento bancario que refleje los cargos, los identificadores de las cuentas, teléfonos, correos y demás indicios disponibles. Informe además a las personas de la organización que puedan recibir nuevas instrucciones falsas, sin difundir innecesariamente datos del incidente.

Qué puede exigirse al banco en una operación no autorizada

La regla legal parte de la notificación sin demora injustificada desde que se conoce la operación. El plazo máximo de trece meses previsto en el artículo 43 del Real Decreto-ley 19/2018 no es un plazo aconsejable para esperar: es un límite exterior y la reacción temprana puede ser determinante tanto para la recuperación como para la prueba. Ese límite no opera si el proveedor no facilitó o puso a disposición la información exigible sobre la operación.

En cuentas empresariales debe revisarse además el contrato marco. Cuando el usuario no es consumidor, las partes pueden pactar un plazo distinto; y, si tampoco es una microempresa, pueden acordar que determinadas reglas —entre ellas, la carga probatoria del artículo 44— no se apliquen total o parcialmente. Esta posibilidad contractual no permite trasladar sin más a cualquier empresa la respuesta prevista para un consumidor.

Si la operación es realmente no autorizada, el artículo 45 establece que el proveedor del ordenante debe devolver el importe de inmediato y, como máximo, al final del día hábil siguiente al de la detección o notificación, salvo que tenga motivos razonables para sospechar fraude y los comunique por escrito al Banco de España. La cuenta debe restituirse al estado en que se habría encontrado sin la operación.

La entidad puede oponer que hubo consentimiento, fraude del usuario o incumplimiento deliberado o gravemente negligente de sus obligaciones de custodia y aviso. Pero el artículo 44.3 atribuye al proveedor la prueba del fraude o de la negligencia grave. No basta con una respuesta estandarizada que equipare automáticamente autenticación y autorización. Tampoco puede afirmarse lo contrario —que todo engaño obliga siempre al banco a devolver—: la secuencia técnica, las advertencias, la conducta de las partes y el tipo de orden deben analizarse de forma individual.

La verificación del beneficiario cambia la prueba de las transferencias actuales

Desde el 9 de octubre de 2025, los proveedores de servicios de pago deben ofrecer gratuitamente la verificación del beneficiario para transferencias en euros, ordinarias o inmediatas. El servicio contrasta el nombre indicado con el titular de la cuenta y devuelve un resultado coincidente, casi coincidente, no coincidente o no verificable. La obligación procede del Reglamento (UE) 2024/886 y el Banco de España explica su funcionamiento.

El IBAN sigue siendo el identificador único. Si el sistema avisa de una discordancia y el ordenante decide continuar, los fondos se enviarán al IBAN indicado y esa decisión puede afectar de forma relevante a la atribución de responsabilidad. Si no se ofreció la verificación, no funcionó o la advertencia fue confusa, conviene solicitar y preservar los registros de la pantalla, el resultado de la comprobación y la trazabilidad de la autorización.

Para pagos empresariales, la tecnología debe acompañarse de controles internos: doble aprobación para importes sensibles, verificación por un canal distinto al correo ante cualquier cambio de IBAN, uso de teléfonos ya conocidos, límites por usuario y revisión periódica de los permisos. En pagos masivos, la empresa debe conocer y configurar con su entidad el procedimiento de verificación aplicable.

Cómo preparar una reclamación bancaria útil

Además del aviso urgente, presente una reclamación escrita al Servicio de Atención al Cliente de la entidad. Debe ser clara, cronológica y verificable. Conviene incluir:

1. Identidad del titular, cuenta afectada y datos de contacto.
2. Fecha, importe, beneficiario e identificador de cada operación discutida.
3. Una cronología de la suplantación, el acceso o el engaño, sin ocultar hechos desfavorables ni formular conclusiones técnicas no comprobadas.
4. La manifestación expresa de qué operaciones se niega haber autorizado, cuando sea cierto.
5. Hora y canal de los avisos dados al banco, medidas solicitadas y respuestas recibidas.
6. Número de denuncia o constancia del reporte, si existen.
7. Petición concreta: reembolso cuando proceda, intento de recuperación, conservación y entrega de los registros relevantes, trazabilidad de autenticación y del resultado de la verificación del beneficiario, y respuesta motivada.
8. Índice de documentos adjuntos. No incluya contraseñas ni credenciales activas.

En reclamaciones sobre servicios de pago, la entidad debe responder, con carácter general, en quince días hábiles. Si desestima la reclamación o no contesta en plazo, puede acudirse al Banco de España. Su informe no es vinculante, pero ordena la controversia y puede aportar un criterio supervisor relevante. La página oficial de reclamaciones explica los requisitos y los plazos.

Si después se plantea una acción civil, también debe planificarse el requisito de negociación previa introducido por la Ley Orgánica 1/2025. En acciones individuales de consumidores, la reclamación extrajudicial previa o la resolución de una reclamación financiera ante el Banco de España pueden cumplir el requisito en los términos de su disposición adicional séptima. En asuntos empresariales, debe comprobarse qué medio adecuado de solución de controversias procede, que el objeto negociado coincida con el eventual litigio y que el intento quede documentado.

Cuándo conviene una valoración jurídica temprana

La revisión profesional resulta especialmente útil cuando el importe es relevante; intervienen varias transferencias, países o entidades; el fraude afecta al correo de una empresa; existe una póliza de ciberriesgo o fidelidad; el banco equipara sin más autenticación y consentimiento; no consta la verificación del beneficiario; o hay que coordinar reclamación bancaria, denuncia, protección de datos y negociación previa.

Una valoración inicial responsable no consiste en prometer la recuperación. Consiste en identificar el tipo de operación, asegurar la prueba, ordenar los posibles responsables, revisar plazos y escoger una estrategia proporcionada al importe y a las posibilidades reales de cobro.

Preguntas frecuentes

¿Puede el banco cancelar una transferencia fraudulenta?

Una orden ya recibida por el proveedor es, con carácter general, irrevocable. Aun así, debe avisarse inmediatamente y solicitarse el intento de recuperación o rastreo. Su viabilidad dependerá del estado de la operación, de la colaboración entre entidades y de si los fondos siguen disponibles.

¿Tengo trece meses para reclamar?

Como regla, la ley fija un máximo de trece meses para comunicar operaciones no autorizadas o incorrectas, pero exige hacerlo sin demora injustificada desde que se conocen. El límite tiene excepciones y, para usuarios no consumidores, puede existir un plazo contractual distinto. Esperar puede perjudicar la recuperación y la valoración de la diligencia.

Si se usó un código de seguridad, ¿la operación está autorizada?

No necesariamente. La autenticación técnica y el consentimiento jurídico no son conceptos idénticos. Deben examinarse quién dio la orden, cómo se obtuvieron las credenciales y qué acredita el proveedor. Si la persona ordenó directamente la transferencia bajo engaño, el análisis será distinto y dependerá de las circunstancias.

¿El banco responde siempre del fraude?

No. El régimen es favorable al usuario en operaciones no autorizadas, pero admite excepciones y no convierte al proveedor en responsable automático de toda estafa. El consentimiento, la negligencia grave, las advertencias, la verificación del beneficiario y la ejecución conforme al IBAN pueden ser determinantes.

¿Qué debe hacer una empresa si se ha comprometido su correo?

Contactar con el banco, preservar el correo original y los registros, contener el acceso, revisar reglas y sesiones, denunciar, alertar internamente y evaluar si hubo acceso a datos personales. La gestión técnica, bancaria, penal y de privacidad debe coordinarse para no destruir prueba ni dejar abierta la intrusión.

---

Valorar el asunto con criterio

Si una transferencia fraudulenta afecta a su empresa o a su patrimonio, Prada Abogados puede realizar una valoración inicial de la secuencia, la documentación disponible y las vías de reclamación. Actuamos desde Madrid en asuntos de toda España, según su naturaleza.

Autor y revisión jurídica: José Luis Prada Rodríguez, abogado ejerciente del Ilustre Colegio de la Abogacía de Madrid (ICAM), colegiado n.º 22.351. Última revisión: 20 de agosto de 2026.

Aviso: este artículo ofrece información general y no constituye asesoramiento jurídico para un caso concreto. La respuesta depende de los hechos, la documentación, la condición del usuario, el contrato y la normativa aplicable en la fecha del incidente. La lectura o el contacto inicial no crean por sí solos una relación abogado-cliente.