Que es el phishing y reclamar de estafa informática

El phishing es un tipo de ciberataque en que son usados correos electrónicos, mensajes de texto, o SMS, llamadas telefónicas o redirecciones a sitios web fraudulentos para suplantar la identidad de una entidad confiable como el banco, tu universidad, administración pública, o incluso, algún familiar – generando un estado de engaño en la víctima, con la finalidad de inducirla a realizar una acción concreta: revelar credenciales o datos sensibles como números de tarjeta, cuentas bancarias, contraseñas, autorizar pagos o transferencias, conceder acceso indebido a sistemas.

El ataque phishing suele estructurarse en las siguientes fases. Conocerlas y comprenderlas bien es importante para detectar el ataque y no caer en el engaño:

1. Preparación: el ciberdelincuente recopila tanta información como sea posible de la víctima: nombre, correos electrónicos, números de teléfono, banco… con el objetivo de crear el señuelo.
2. Envío del señuelo: se envía un correo, SMS o mensaje que parece oficial, haciéndose pasar por la entidad confiable, enviándolo desde una dirección que parece ser veraz y pidiendo alguna acción urgente o incluyendo un enlace o archivo malicioso, por ejemplo: “tu cuenta ha sido bloqueada, verifica tus datos”, “transacción no reconocida”, “se procederá al cobro de 1.985,46€, sino reconoce éste, acceda al siguiente link para cancelar”…
3. Engaño: la víctima cae en el engaño, abre el enlace, descarga el archivo, introduce las credenciales, PIN, datos de la tarjeta o cuenta bancaria.
4. Acceso y explotación: una vez los datos han sido robados, el atacante accede a cuentas bancarias, correo electrónico y demás para realizar las operaciones no autorizadas: transferencias, pagos, cambiar las contraseñas, vaciar las cuentas, robar más datos

Para poder evitar caer en este tipo de estafa, es imprescindible estar alerta con los siguientes detalles y señales:

1. Revisar el remitente: comprueba el correo del remitente completo, es decir, lo que va después del “@” y compáralo con lo que la empres o el banco usa habitualmente. UN dominio puede parecer legítimo a primera vista, pero tener alteraciones sutiles.
2. Errores ortográficos o de gramática en el mensaje pueden ayudarte a darte cuenta, así como la tipología y tamaño de letra utilizada.
3. Urgencia excesiva: mensajes que instauran miedo y que te impiden pensar o verificar, como, por ejemplo, “tu cuenta está comprometida, regulariza ya” “actualiza ya o perderás el acceso”…
4. Solicitud de datos sensibles: los bancos nunca pedirán este tipo de datos a través de mensajes o correos.
5. Incongruencia con tu actividad habitual: verifica si el mensaje refleja algo que tú has hecho o contratado.

El phishing es un delito que se subsume principalmente en el delito de estafa informática del artículo 249 del Código Penal, en tanto que, a través de medios informáticos y mediando engaño bastante, el autor accede y obtiene credenciales y claves de la víctima para posteriormente realizar un acto de disposición patrimonial, en perjuicio de la víctima y con ánimo de lucro. Ahora bien, en función de las circunstancias concretas, es posible que el phishing pueda tipificarse como otros delitos del Código Penal tales como ataque a la intimidad personal, usurpación.

Sí, si has sido víctima de phishing puedes reclamar a tu banco las cantidades que hayan sido sustraídas de manera fraudulenta. Ahora bien, con ciertos límites. El Tribunal Supremo ha consolidado doctrina sobre la responsabilidad de las entidades bancarias frente a los fraudes de phishing en su reciente Sentencia 571/2025 de 9 de abril.

La resolución se apoya en la Ley de Servicios de Pago (RDL 19/2018, de 23 de noviembre) y en la Directiva 2007/64/CE, que establecen un régimen de responsabilidad cuasi objetiva del proveedor de servicios de pago. Esto significa que, salvo que el banco demuestre que el cliente actuó con fraude, negligencia grave o incumplimiento deliberado, debe reintegrar las cantidades de operaciones no autorizadas.

Así las cosas, nuestro Alto Tribunal ha fijado los siguientes extremos a fin de saber si es viable que un banco se haga responsable de los daños generados a la víctima del delito de phising.

La sentencia aclara que la negligencia grave no puede presumirse automáticamente. Solo concurre si el cliente actúa de forma claramente descuidada, por ejemplo, compartiendo voluntariamente sus claves con terceros, ignorar advertencias explícitas del banco o no comunicar con rapidez la existencia de fraude.

En este caso, el cliente avisó al banco inmediatamente tras haber recibido mensajes sospechosos antes incluso del fraude, lo que demuestra su diligencia. Por ello, el Supremo descartó cualquier negligencia grave.

El Tribunal recuerda que corresponde al banco, y no al cliente, probar que la operación fue autenticada correctamente, fue registrada y contabilizada sin fallos técnicos, no se produjo ninguna deficiencia en el servicio.. Afirmando que el mero hecho de que el sistema informático del banco muestre que se introdujeron las credenciales correctas o se usó el código OTP no basta para presumir que el cliente autorizó la operación. Dicho de otro modo, la entidad debe probar no solo la autenticación técnica, sino también la autenticación material y consciente, es decir, que el cliente realmente consintió la transacción.

El Supremo recalca que los bancos deben implementar sistemas técnicos capaces de detectar operaciones anómalas o inusuales. Transferencias repetidas, importes elevados o envíos a cuentas extranjeras son indicadores de alerta que deben activar mecanismos automáticos de verificación o bloqueo. En este caso, Ibercaja no reaccionó a tiempo ni detectó irregularidades que eran objetivamente anormales y permitió la ejecución de numerosas operaciones irregulares en un corto intervalo de tiempo, lo que el Supremo considera una deficiencia del servicio.

Asimismo la Sentencia declara que las cláusulas contractuales que intentan eximir al banco de responsabilidad por intromisiones de terceros son nulas, porque contradicen el régimen imperativo de la Ley de Servicios de Pago.

Por tanto, si por desgracia y, a pesar de haber tenido la diligencia debida, has sido víctima de fraude digital es imprescindible que:

1. Que la operación haya sido no autorizada, es decir, que la victima no haya prestado su consentimiento válido y consciente.
2. Que el consumidor haya actuado con diligencia y sin negligencia grave
3. Que el banco no pruebe la autenticación correcta ni la ausencia de fallos
4. Que el consumidor haya notifique inmediatamente y sin demoras injustificadas al banco.