¿Has sido víctima de phishing? Descubre cómo recalamar tu dinero

El phishing se ha convertido en una de las estafas más comunes en España. Según un estudio reciente, el 33% de los españoles ha sido víctima de phishing, lo que lo posiciona como la amenaza más reportada en el país . Además, el 74,7% de los encuestados afirmó haber sufrido algún intento de estafa en el último año, siendo el phishing una de las técnicas más utilizadas

¿Qué es el phishing?

El phishing es una técnica de fraude que busca obtener información confidencial de las víctimas mediante la suplantación de identidad de entidades de confianza, como bancos o instituciones públicas. Los delincuentes utilizan diversos métodos para engañar a las personas y lograr que proporcionen datos personales, contraseñas o información financiera. No es solo el típico email sospechoso. Hoy pueden llegarte por SMS, por WhatsApp… o incluso por un simple código QR.

Tipos más habituales de phishing

Phishing clásico

Es el más conocido. Te llega un correo electrónico que simula ser de tu banco. Incluye su logotipo, una dirección que se parece a la oficial y un mensaje urgente (“Hemos bloqueado tu cuenta”, “Accede para evitar una sanción”, etc.). Al pinchar en el enlace, entras en una web falsa donde introduces tus claves. Y ya está: les has dado acceso.

Smishing

Es lo mismo, pero por SMS. Muchas veces el mensaje aparece en el mismo hilo que los mensajes reales de tu banco, lo que lo hace aún más creíble. Desde ahí, también te redirigen a webs falsas o te piden confirmar operaciones.

Vishing

Aquí no hay mensajes escritos. Recibes una llamada de alguien que dice ser del banco, de la Policía o incluso de un servicio técnico. Con voz amable, y datos que probablemente han obtenido antes (nombre, DNI, dirección), te hacen creer que debes confirmar datos o evitar un cargo sospechoso. Pero la realidad es que te están manipulando.

QRishing

Esta es la nueva modalidad. Los estafadores colocan códigos QR falsos en lugares públicos (parquímetros, carteles de eventos, facturas), o te lo envían por email. Cuando escaneas el código, te redirige a una web falsa idéntica a la de tu banco o a un sistema de pago. Y sin darte cuenta, estás entregando tus datos o autorizando una operación.

Nunca escanees un QR sin comprobar quién lo ha enviado.

Spoofing

El spoofing es una técnica de suplantación de identidad en entornos digitales. Su objetivo es engañar al usuario haciéndose pasar por una fuente legítima para obtener información personal, provocar una acción concreta (como transferencias de dinero) o simplemente sembrar confusión.

Existen varios tipos de spoofing, pero todos tienen algo en común: el atacante finge ser alguien de confianza.

¿Cómo reconocer un intento de phishing? Claves para evitar ser víctima de phishing

Los ataques de phishing están diseñados para engañar al usuario y obtener información sensible, como contraseñas, datos bancarios o identificaciones personales. Aunque los ciberdelincuentes perfeccionan constantemente sus métodos, existen algunas señales comunes que pueden ayudarte a identificar estos fraudes antes de que sea demasiado tarde:

• Solicitudes urgentes o amenazas inminentes: Un clásico del phishing es la creación de una situación de urgencia. Por ejemplo, correos que dicen que tu cuenta será suspendida si no haces clic en un enlace «inmediatamente», o mensajes que alegan haber detectado una actividad sospechosa. Esta presión busca que actúes sin pensar ni verificar.
• Errores gramaticales o de ortografía: Aunque los mensajes de phishing son cada vez más sofisticados, muchos aún contienen errores evidentes de redacción, gramática o traducción. Esto se debe a que suelen estar generados automáticamente o traducidos sin revisión.
• Enlaces sospechosos o redirigidos: Es fundamental comprobar la dirección URL antes de hacer clic. Aunque el enlace aparente parezca legítimo, al pasar el cursor por encima del enlace (sin hacer clic), puedes ver la verdadera dirección de destino. Si difiere del dominio oficial de la empresa, probablemente se trata de un sitio fraudulento.
• Solicitudes de información confidencial: Ninguna entidad financiera, plataforma de pagos o administración pública legítima solicitará tus credenciales, números de tarjeta o códigos de verificación por email o SMS. Si un mensaje pide esta información, es casi seguro que se trata de un intento de estafa.

Estar alerta ante estas señales puede marcar la diferencia entre proteger tu información o caer en una trampa peligrosa.

¿Dónde está regulado el phishing?

El phishing no aparece como tal en el Código Penal, pero encaja perfectamente en la modalidad de estafa informática, recogida en el artículo 249.1.a) CP, tras la reforma operada por la LO 14/2022.

Este artículo castiga a quienes, con ánimo de lucro y utilizando manipulaciones informáticas o artificios semejantes, consigan una transferencia no autorizada de activos en perjuicio de otro.

Además, el propio Código Penal en su artículo 249.2 también sanciona la posesión y distribución de programas o dispositivos diseñados para cometer este tipo de fraudes, incluyendo la creación de webs falsas, clonación de tarjetas o difusión de enlaces fraudulentos.

La jurisprudencia del Tribunal Supremo (STS 692/2006, STS 49/2020, entre otras) confirma que el uso de claves ajenas, PIN o accesos falsificados mediante engaño puede considerarse una manipulación informática, lo que convierte este tipo de fraude en una conducta penalmente reprochable.

Consecuencias de caer en un ataque de phishing

Las consecuencias de un ataque de phishing pueden ser devastadoras, tanto a nivel personal como profesional. No se trata únicamente de un simple robo de datos, sino de una cadena de impactos negativos que pueden extenderse en el tiempo:

• Pérdidas económicas directas: El acceso no autorizado a cuentas bancarias, plataformas de pago o tarjetas de crédito permite a los estafadores realizar transferencias, compras o retirar dinero sin el consentimiento del titular. En muchos casos, estos fondos no se recuperan fácilmente.
• Suplantación o robo de identidad: Con tus datos personales en su poder, los delincuentes pueden abrir cuentas a tu nombre, contratar servicios, solicitar créditos o cometer delitos que se atribuirán inicialmente a ti. Esto puede derivar en procedimientos judiciales o reclamaciones indebidas.
• Perjuicio reputacional: Si los atacantes utilizan tu identidad digital para enviar spam, estafar a contactos tuyos o cometer otros fraudes, tu credibilidad puede verse gravemente dañada. En el ámbito profesional, esto puede traducirse en pérdida de confianza, clientes o incluso empleo.

Por todo ello, la mejor defensa frente al phishing es la prevención: mantenerse informado, actuar con cautela y utilizar herramientas de protección tecnológica como filtros antiphishing, autenticación en dos pasos y navegación segura.

¿Has sido víctima de phishing? Ahora puedes reclamarle al banco

¿Puedo reclamarle al banco si he sido víctima de una estafa informática o phishing? 

Sí, puedes y debes reclamar. Y ahora más que nunca, con una nueva doctrina del Tribunal Supremo que refuerza los derechos del usuario bancario.

El pasado 9 de abril de 2025, la Sala de lo Civil del Tribunal Supremo dictó una sentencia histórica que marca un antes y un después en los casos de phishing bancario. Esta resolución condena a Ibercaja Banco S.A. a devolver más de 56.000 euros a un cliente víctima de una estafa informática. El Supremo considera que el banco no actuó con la diligencia exigible y que, conforme a la Ley de Servicios de Pago, la responsabilidad es del proveedor de servicios financieros, no del usuario, salvo prueba de negligencia grave o fraude.

¿Qué significa esto para ti?

Si has sufrido un fraude en tu cuenta bancaria —ya sea por phishing, duplicado de SIM, o transferencias no autorizadas—, no estás desamparado. Esta sentencia sienta jurisprudencia: los bancos no pueden escudarse en la doble autenticación o en las cláusulas de exoneración de responsabilidad si no prueban de forma clara que tú actuaste con negligencia grave o deliberadamente permitiste el fraude.

En palabras del Tribunal Supremo:

“La responsabilidad del proveedor tiene carácter cuasi objetivo. Notificada la operación no autorizada, debe reintegrar el importe salvo prueba de que el cliente actuó con dolo o negligencia grave”.

¿Qué puedo reclamar?

Puedes reclamar el importe íntegro de las operaciones no autorizadas, intereses, daños y perjuicios derivados del fraude y, si el caso lo justifica, incluso las costas del procedimiento judicial.

¿Qué dice la ley si soy víctima de phishing?

La legislación española, en armonía con las directivas europeas, protege de forma contundente al usuario bancario frente a operaciones no autorizadas. Si has sido víctima de phishing o cualquier otro tipo de fraude y no has actuado con negligencia grave, el banco está obligado a devolverte el dinero, según el Real Decreto-Ley 19/2018 sobre servicios de pago y la doctrina reciente del Tribunal Supremo.

¿Cómo reclamar al banco si he sido víctima de estafa?

¿Qué debes hacer si has sufrido una estafa?

En estos casos, actuar con rapidez y con apoyo legal especializado es fundamental. Los pasos recomendados son:

• Contacta de inmediato con tu banco para informar de la operación fraudulenta y bloquear posibles nuevas transferencias.
• Recopila toda la documentación útil:
  • • Extractos bancarios con las operaciones no reconocidas.
    • Capturas de pantalla de SMS, correos electrónicos o aplicaciones donde se refleje la actividad sospechosa.
    • Copia del DNI y contrato con la entidad bancaria.
    • Denuncia policial y cualquier comunicación mantenida con el banco.
• Ponte en manos de un abogado experto en fraudes digitales y phishing bancario. No todas las reclamaciones prosperan si no se presentan correctamente. Un abogado especializado sabrá cómo enfocar el caso para maximizar las opciones de éxito y reclamar también intereses, daños y perjuicios.

El abogado te ayudará a presentar una denuncia policial ante la Policía Nacional o Guardia Civil o el mismo Juzgado, detallando lo ocurrido y solicitando las diligencias oportunas para encontrar al autor del fraude

¿Qué opciones tengo de recuperar mi dinero?

Si actúas con rapidez y te asesora un despacho con experiencia en este tipo de casos, las probabilidades de recuperar el importe defraudado son muy altas. Los tribunales están exigiendo a los bancos niveles de seguridad y control muy estrictos, y cualquier fallo en sus protocolos puede convertirles en responsables directos de la pérdida.

¿Has sido víctima de una estafa informática? No esperes más.
Contacta con nuestro equipo de abogados expertos en fraudes informáticos y phishing bancario.

Soy Víctor Ávila, abogado penalista y quiero ayudarte.