Un mensaje que parece proceder de tu banco, una llamada de un supuesto empleado de seguridad o una web clonada pueden bastar para que un estafador acceda a tu cuenta y vacíe tus ahorros en cuestión de minutos. Los ciberengaños son cada vez más sofisticados. Los delincuentes imitan el diseño de las entidades, utilizan enlaces convincentes y, en algunos casos, consiguen que sus SMS aparezcan en el mismo hilo que los mensajes legítimos del banco.

Hasta ahora, muchas víctimas se encontraban con una segunda frustración. Tras descubrir el robo, la entidad se negaba a devolver el dinero alegando que el cliente había facilitado sus claves o confirmado la operación. Sin embargo, un fallo del Tribunal de Justicia de la Unión Europea (TJUE) del 15 de octubre de 2026, en el asunto C-70/25, ha reforzado la protección del consumidor y ha cambiado el orden de las cosas.

Cuándo debe devolverte el dinero

La normativa española de servicios de pago, contenida en el Real Decreto-ley 19/2018, obliga a la entidad a reembolsar de inmediato una operación no autorizada y, como máximo, al final del día hábil siguiente a aquel en que conoció la operación o se le comunicó. Esta regla traspone el artículo 73 de la directiva europea PSD2.

El TJUE ha precisado que una posible negligencia grave del cliente no es motivo suficiente para suspender ese reembolso. Si el banco cree que hubo fraude o culpa del usuario, deberá devolver el importe y reclamar después por las vías legales, aportando pruebas de esa negligencia.

La única excepción prevista es que la entidad tenga motivos razonables para sospechar un fraude cometido por el propio cliente. En ese caso, puede retrasar la devolución, pero debe comunicar formalmente esos motivos por escrito a la autoridad competente; una simple "investigación interna" no basta.

Qué cuenta como operación no autorizada

Que hayas introducido tu contraseña en una web falsa o hayas facilitado un código recibido por SMS no significa, por sí solo, que autorizaras la operación. La ley considera autorizada una operación cuando existe consentimiento real del titular; si ese consentimiento se obtiene mediante engaño, el pago puede considerarse no autorizado.

Además, el registro de que se utilizaron las credenciales correctas no libera al banco. La normativa establece que la entidad debe demostrar que el mensaje y la operación fue autenticada, registrada correctamente y que no estuvo afectada por un fallo técnico u otra deficiencia del servicio.

Qué hacer en las primeras horas

La rapidez es decisiva. En cuanto detectes cargos, transferencias o compras que no reconoces, llama de inmediato al teléfono de emergencias de tu banco y solicita el bloqueo de tarjetas, accesos digitales y operaciones. Cambia también las contraseñas comprometidas y, si sospechas un duplicado de SIM, contacta con tu operadora.

Después, conserva todas las pruebas. Entre ellos, mensajes, correos, capturas de pantalla, números de teléfono, extractos bancarios y justificantes de las operaciones. No borres nada del móvil y guarda el enlace fraudulento, si es posible.

Presenta una denuncia ante la Policía Nacional o la Guardia Civil y comunícalo al banco por escrito, pidiendo expresamente la devolución del importe como operación no autorizada. Este escrito debe identificar los movimientos fraudulentos, la fecha en que los detectaste y el hecho de que no diste tu consentimiento.

Si el banco se niega

Si la entidad rechaza la reclamación o no responde, puedes elevar el caso al Servicio de Reclamaciones del Banco de España. La reclamación al banco debe resolverse, como norma general, en un plazo máximo de 15 días hábiles, ampliable a un mes si la entidad lo justifica.

Ten en cuenta que el informe del Banco de España no es vinculante. La entidad puede no aceptarlo. Por eso, si el importe es relevante o el banco mantiene su negativa, la vía judicial puede ser necesaria. La sentencia europea puede invocarse en la reclamación y en un eventual proceso.

El cliente siempre tiene la razón, también en cuestiones relacionadas con fraudes bancarios. La justicia europea ha puesto el punto final a las disputas entre las entidades y las víctimas de fraudes, incluso aunque hayan cometido una negligencia grave, como llevar anotada la clave en la tarjeta de crédito, dictar por teléfono el código de un solo uso o instalar una aplicación de control remoto en el ordenador a solicitud de un desconocido. De entrada, las entidades financieras no podrán aducir ese motivo para denegar la devolución del dinero, como hacían hasta ahora, de acuerdo con una reciente sentencia del Tribunal de Justicia de la Unión Europea (TJUE). Los bancos tendrán que reclamarle, a posteriori, el dinero al cliente.

Seguir leyendo

© Marcos Villaoslada (EFE)

Only the US and Israel were hit by more cyberattacks than Ukraine this year. Ukraine ranked third in the world and first in Europe among the countries whose organizations and users were most often targeted by cyberattacks in the first half of 2026, accounting for 4.8% of all victims worldwide, up from fifth in the world and third in Europe a year earlier, Microsoft said in its Digital Defense Report 2026.

Microsoft processes more than 165 trillion security signals a day, which lets it show how often attackers go after customers in each country. Russian state hackers aimed 14% of their recorded activity at Ukraine, more than at any country except the US.

The era of machine-speed cyberattacks is here

Government agencies and services were the most targeted sector worldwide at 27%, up from 17% in 2025. Phishing drove 23% of intrusions Microsoft investigated, up from 7% a year earlier, and the median time from finding a vulnerability to weaponizing it has fallen well below 24 hours.

The use of artificial intelligence is pushing cyberspace into an era of “machine-speed” attacks that operate continuously and without fatigue, according to Dev.

“Many AI agents act on behalf of users and with their access rights, so a compromised agent combines user-level access with machine-scale actions,” Natalia Burlakova, Security Sales and Engineering Lead at Microsoft, says.

Deception beats code in attacks on Ukraine

Ukraine's own agency data show a similar pattern. Malware accounted for 33% of cyber incidents in the first half of 2026, and social engineering 31%, the State Service of Special Communications and Information Protection reported on 30 September. System infections made up 15%, and system compromises 4.5%.

Attackers rely less on technical complexity than on trust, according to the report by Ukraine's computer emergency response team, CERT-UA. Hacker groups create fake pages that mimic CERT-UA, Ukraine's Parliament's document management system, and the Brave1 defense technology platform.

Microsoft urges five government steps

Microsoft asks governments to prepare for faster-moving threats by assigning roles and coordinating agencies in advance of a crisis, and to treat AI security as part of national resilience. It also asks them to plan for incidents that spread, noting that 52.2% of intrusions involving valid accounts led to additional credential theft.