¿Tiene el banco que devolverme el dinero de un cargo fraudulento?

Sí. Si alguien paga con tu tarjeta, saca dinero o hace transferencias desde tu cuenta sin tu autorización, el banco tiene que devolverte el importe de inmediato y, como tarde, al final del día hábil siguiente a aquel en que se lo comunicas (artículo 45.1 del Real Decreto-ley 19/2018, de servicios de pago). Después, la ley decide cuánto de esa pérdida puede acabar siendo tuya, y solo hay tres respuestas posibles: nada, un máximo de 50 € o todo. Todo, únicamente si el banco prueba que actuaste con fraude o con negligencia grave.

Lo que puedes perder, según el caso

El reparto está en el artículo 46. Aplicado a cada situación, de la más favorable a la menos:

Dos detalles de la tabla pesan más de lo que parece. El primero: los 50 € no son lo que el banco te descuenta siempre, son un techo, y la ley dice que el titular "podrá quedar obligado" a soportarlos, no que deba. El segundo: la fila de la autenticación reforzada cubre muchos pagos, porque la normativa permite no pedirla en bastantes operaciones pequeñas.

El plazo del banco: el día hábil siguiente

El artículo 45.1 obliga a tu banco a devolverte el importe "de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación". Tiene que restituir la cuenta "al estado en el que se habría encontrado de no haberse efectuado la operación no autorizada", y la fecha valor del abono "no será posterior a la fecha de adeudo del importe devuelto". En el extracto bancario, el cargo y su devolución deben quedar con la misma fecha valor. Qué días cuentan como hábiles, y por qué un aviso del viernes por la noche se cuenta desde el lunes, está en cuánto tarda una transferencia.

La ley solo admite una excepción: que el banco "tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España". Decir que el caso está "en estudio" no sustituye a esa comunicación.

Tu plazo: sin demora, y nunca más de trece meses

Para tener derecho a la devolución tienes que comunicar la operación "sin demora injustificada, en cuanto tenga conocimiento" de ella y, en todo caso, "dentro de un plazo máximo de trece meses contados desde la fecha del adeudo" (artículo 43.1). Son dos límites distintos: si viste el cargo en la app en marzo y reclamas en octubre, estás dentro de los trece meses, pero el banco puede discutir la demora.

Hay un caso en que ninguno de los dos plazos corre: cuando el banco "no le haya proporcionado ni puesto a su disposición la información sobre la operación de pago" que exige la ley (artículo 43.1, segundo párrafo).

Los mismos trece meses valen para un recibo domiciliado sin mandato. Los recibos que sí autorizaste tienen otro plazo, explicado en devolver un recibo domiciliado.

La autenticación reforzada, y los pagos en los que no se pide

La autenticación reforzada es la que combina "dos o más elementos categorizados como conocimiento, posesión e inherencia" (artículo 4 del Reglamento Delegado (UE) 2018/389): algo que sabes, como el PIN; algo que tienes, como el móvil que recibe el código; o algo que eres, como la huella. El reglamento se aplica desde el 14 de septiembre de 2019 (artículo 38) y permite a los bancos no aplicarla en ciertos pagos. Estas son las dos exenciones por escasa cuantía:

Aquí entra el artículo 46.2 del Real Decreto-ley: "Si el proveedor de servicios de pago del ordenante no exige autenticación reforzada de cliente, el ordenante solo soportará las posibles consecuencias económicas en caso de haber actuado de forma fraudulenta". El texto no distingue por qué no se exigió, si por una exención o por cualquier otro motivo. Si fue el comercio quien no la aceptó, el reembolso al banco es cosa suya, no tuya.

Un ejemplo con números. Te roban la cartera y, antes de que te des cuenta, el ladrón paga cuatro veces 45 € acercando la tarjeta en distintos comercios, sin PIN. Cada pago está por debajo de 50 € y son menos de cinco seguidos, así que el banco pudo aplicar la exención del artículo 11. Como no exigió autenticación reforzada, los 180 € son íntegramente del banco, sin franquicia de 50 €. Si además el ladrón hubiera sacado 300 € en un cajero con tu PIN, esa operación sí tuvo autenticación, y la respuesta depende de cómo consiguió el PIN, que es lo que se discute en el apartado siguiente.

Qué es negligencia grave, y quién tiene que probarla

La ley no da una lista. El artículo 41 te obliga a dos cosas: tomar "todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas" y avisar al banco "sin demora indebida" si pierdes la tarjeta o detectas un uso no autorizado. Incumplir alguna de las dos por negligencia grave es lo que te hace cargar con todo.

La pauta para medirla está en el considerando 72 de la Directiva (UE) 2015/2366, que el Supremo reproduce en la sentencia 571/2025: la negligencia grave "tiene que significar algo más que la mera negligencia, lo que entraña una conducta caracterizada por un grado significativo de falta de diligencia". El único ejemplo que pone el texto es "guardar las credenciales usadas para la autorización de una operación de pago junto al instrumento de pago, en un formato abierto y fácilmente detectable para terceros": el PIN apuntado en un papel dentro de la funda de la tarjeta.

La prueba es del banco. Tiene que demostrar que la operación "fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio" (artículo 44.1); el registro del uso de la tarjeta o de tus claves "no bastará, necesariamente" para probar que autorizaste ni que fuiste negligente (44.2), y es él quien tiene que probar tu fraude o tu negligencia grave (44.3).

Lo que dijo el Supremo en la sentencia 571/2025

En el caso de la sentencia de 9 de abril de 2025, un cliente avisó a su sucursal de que le llegaban SMS con códigos para validar transferencias que él no había pedido, y semanas después de cargos no autorizados en su tarjeta. El 17 de marzo de 2021 acudió a la oficina, contó lo ocurrido y pidió cancelar la tarjeta. Esa misma tarde alguien obtuvo sin autorización un duplicado de la tarjeta SIM del móvil que recibía los códigos, y entre la noche del 17 y la mañana del 18 se hicieron quince transferencias: diez por Bizum de 500 € cada una y cinco por banca electrónica, de entre 9.870 € y 28.970 €. Con comisiones, el cargo total fue de 83.692,73 €. El banco recuperó 27.218,10 € de las cuentas de destino y fue condenado a pagar los 56.474,63 € restantes, más intereses. El Supremo confirmó la condena.

El banco alegaba que todo se hizo con las claves del cliente y el código enviado a su móvil, y que el contrato daba por válidas esas operaciones. El Tribunal respondió con cuatro ideas:

1. Las claves no equivalen a consentimiento. La expresión "operaciones no autorizadas" incluye las que se han iniciado con el usuario y la contraseña del cliente y se han confirmado con el SMS enviado a su móvil, "siempre que éste niegue haberlas autorizado".
2. El contrato no puede rebajar la ley. Es "una regulación que se impone a las partes", y las cláusulas del contrato, incluida la de exoneración de responsabilidad, tienen que respetarla.
3. "Deficiencia del servicio" es cualquier falta de diligencia. No significa un fallo informático, "sino que abarca cualquier falta de diligencia o mala praxis", y la diligencia exigible no es la del buen padre de familia, sino la "del ordenado y experto comerciante".
4. El banco tiene que detectar lo anómalo. Las buenas prácticas incluyen sistemas que detecten "la reiteración de transferencias sin solución de continuidad, horario en que se producen, importe de las mismas, destinatarios, antecedentes en el uso de la cuenta" y generen una alerta o un bloqueo temporal.

El resumen del propio Tribunal: la responsabilidad del banco en las operaciones no autorizadas "tiene carácter cuasi objetivo". En este caso, además, el cliente había avisado antes de que le llegaban códigos que no pedía, y el Supremo contrapone esa "conducta diligente del titular de la cuenta" a un servicio prestado "defectuosamente" por no atender la información recibida ni detectar las maniobras. Guardar la prueba de cada aviso cuenta.

La confusión: "el banco siempre devuelve" o "si usaron tu clave, pierdes"

Ninguna de las dos es exacta. La primera olvida el supuesto en el que pierdes todo. La segunda es la equivocada como regla general: el artículo 44.2 dice que el registro de tus credenciales no basta, necesariamente, y el Supremo lo aplicó a un caso con usuario, contraseña y SMS. Lo correcto es: el banco devuelve primero, como tarde al día hábil siguiente, y luego solo puede cargarte el total si prueba tu fraude o tu negligencia grave. La segunda persiste porque tiene algo de verdad: si el banco aporta esa prueba, gana.

Qué hacer, en orden

1. Bloquea la tarjeta o el acceso, y deja constancia. El banco tiene que tener medios gratuitos para avisarle "en todo momento", y a petición tuya darte durante 18 meses un medio de probar que avisaste (artículo 42.1.c). Desde el aviso, tiene que impedir cualquier uso de la tarjeta (42.1.e), y lo que se cargue después ya no es tuyo (46.3). Pide el número de incidencia o el justificante.
2. Comunica por escrito que no autorizaste cada cargo. Enuméralos con fecha, importe y comercio o destinatario, y di expresamente que niegas haberlos autorizado. Ese es el hecho que pone en marcha el artículo 45 y el que, según el Supremo, traslada la prueba al banco.
3. Controla el día hábil siguiente. Si no hay devolución, pregunta por escrito si el banco ha comunicado sospecha de fraude al Banco de España, que es la única excepción que la ley admite.
4. Reclama al servicio de atención al cliente. Tiene quince días hábiles para responder en servicios de pago (artículo 69.1). Después, el Banco de España, con los pasos que explicamos en la guía de banca y crédito.

Hasta dónde llega esta regla

Las órdenes que das tú, engañado. Todo lo anterior trata de operaciones que hizo otra persona sin tu consentimiento. Si la transferencia la ordenaste tú porque alguien te convenció, el punto de partida es otro, y lo que cambió en octubre de 2025 con la comprobación del nombre del destinatario está en transferencia: "el nombre no coincide". El nuevo Reglamento europeo de servicios de pago, que regulará expresamente la suplantación del banco, no se aplica todavía: en julio de 2026 seguía pendiente de votación formal y de publicación en el Diario Oficial.

Empresas y autónomos. Si no eres consumidor ni microempresa, el artículo 34.1 permite pactar que no se apliquen, entre otros, los artículos 44 y 46: la carga de la prueba y el límite de 50 € pueden no valer para ti. Si no eres consumidor, también se puede pactar un plazo distinto de los trece meses. Mira tu contrato antes de reclamar.

Instrumentos de bajo importe. En el dinero electrónico y los medios de pago limitados a operaciones de 30 € o a un gasto de 150 € (el doble en operaciones nacionales, 500 € en prepago), el artículo 34.2 y 34.3 permiten pactar que no se apliquen algunas de estas reglas.