Víctima de phishing: qué hacer y cómo recuperar su dinero

Ser víctima de phishing ya no es algo reservado a usuarios poco expertos. Hoy los mensajes fraudulentos imitan con enorme precisión a bancos, a la Agencia Tributaria o a empresas de mensajería. Por eso, en Sevilla atendemos con frecuencia a empresarios, profesionales y familias que han perdido cantidades relevantes en cuestión de minutos. En esta guía explicamos qué hacer en las primeras horas, cómo reclamar a la entidad y qué papel juega el informe pericial.

Qué significa ser víctima de phishing

El phishing es una técnica de ingeniería social. El atacante suplanta a una entidad de confianza para que la persona entregue sus claves, sus códigos de firma o los datos de su tarjeta. A menudo el engaño llega por SMS (smishing), por llamada telefónica (vishing) o por correo electrónico. Además, las variantes más sofisticadas combinan varios canales. Primero llega un SMS que se cuela en el mismo hilo que los mensajes reales del banco y, después, un falso gestor llama para «anular» una operación sospechosa.

Quien resulta víctima de phishing suele sentir vergüenza y culpa. Sin embargo, conviene recordar que el ordenamiento protege al usuario de servicios de pago frente a las operaciones que no ha autorizado. La clave está en actuar rápido y en documentar bien lo sucedido.

Primeros pasos si es víctima de phishing

Las primeras horas son decisivas. Por ello, recomendamos seguir este orden:

1. Llame de inmediato a su banco por el teléfono oficial y pida el bloqueo de tarjetas, banca online y transferencias pendientes.
2. Solicite por escrito la retrocesión de las operaciones y guarde el justificante de la comunicación.
3. Cambie las contraseñas desde un dispositivo limpio, empezando por el correo asociado a la banca.
4. No borre nada: conserve los SMS, los correos, el historial de llamadas y el propio teléfono tal como está.
5. Presente denuncia ante la Policía Nacional o la Guardia Civil y aporte toda la información disponible.

Además, el INCIBE ofrece una línea gratuita de ayuda en ciberseguridad, el 017, que orienta sobre las medidas técnicas inmediatas. También puede consultar la información que publica la Policía Nacional sobre denuncias por fraude en internet.

Cómo reclamar al banco el dinero perdido

La normativa española de servicios de pago, que incorpora la directiva europea PSD2, obliga al proveedor a devolver el importe de las operaciones no autorizadas. En principio, la entidad solo queda liberada si acredita fraude del cliente o negligencia grave en la custodia de sus credenciales. En la práctica, muchas entidades rechazan de entrada la reclamación con un argumento genérico: «usted facilitó las claves».

Ahora bien, esa respuesta no cierra el asunto. Corresponde al banco probar la negligencia grave, y no basta con afirmar que la operación superó la autenticación reforzada. Por tanto, el siguiente paso consiste en presentar una reclamación ante el servicio de atención al cliente de la entidad. Si no responde o la rechaza, puede acudir al Banco de España y, en último término, a la vía judicial.

Por qué la víctima de phishing necesita un informe pericial

Cuando el caso llega a los juzgados de Sevilla, la discusión se vuelve técnica. El banco aportará sus registros de acceso y sostendrá que el cliente actuó con descuido. Frente a eso, la víctima de phishing necesita demostrar cómo se produjo realmente el engaño. Un perito informático puede analizar el teléfono y el ordenador para acreditar, por ejemplo, estos extremos:

• La coincidencia del SMS fraudulento con el hilo de mensajes legítimos del banco, lo que revela la suplantación del remitente.
• El grado de imitación de la web falsa, porque a menudo reproduce el dominio, el diseño y los pasos del sitio auténtico.
• Qué operaciones se ejecutaron, desde qué dispositivo y con qué patrón temporal.
• La posible instalación de aplicaciones de control remoto o de malware en el terminal.
• El funcionamiento, o no, de las alertas de seguridad de la entidad ante movimientos anómalos.

Con esa información, el abogado puede rebatir la tesis de la negligencia grave. De hecho, un dictamen elaborado conforme a los artículos 335 a 352 de la Ley de Enjuiciamiento Civil convierte un relato verosímil en una prueba técnica sólida.

Cómo trabaja nuestro equipo en estos casos

En PeritoSevilla aplicamos la metodología de adquisición y preservación de evidencias de la norma ISO 27037. En primer lugar, realizamos una copia forense del dispositivo y calculamos su huella digital (hash), de modo que cualquier alteración posterior resulte detectable. A continuación, analizamos los mensajes, el navegador, las aplicaciones instaladas y los registros del sistema. Finalmente, redactamos un informe claro, estructurado según la norma UNE 197001, que el perito ratifica en sala cuando el juzgado lo requiere.

Puede conocer el detalle del servicio en nuestra página de peritaje de ciberdelitos en Sevilla. Trabajamos con despachos y particulares de Sevilla capital, Dos Hermanas, Alcalá de Guadaíra, Mairena del Aljarafe, Utrera y el resto de la provincia.

Errores frecuentes tras sufrir el fraude

Muchas reclamaciones se debilitan por decisiones tomadas con prisa. Estos son los fallos que más vemos:

• Restablecer el móvil de fábrica para «limpiarlo», porque así se destruyen las evidencias.
• Borrar el SMS o el correo fraudulento por miedo, cuando en realidad constituye la prueba principal.
• Aportar solo capturas de pantalla, ya que la entidad puede impugnarlas con facilidad.
• Dejar pasar semanas antes de comunicar el fraude al banco.
• Aceptar la primera negativa de la entidad sin asesoramiento jurídico, aunque parezca definitiva.

Si es abogado y su cliente ha sido víctima de phishing, conviene encargar la preservación forense antes de interponer la demanda. Así evitará que el terminal siga en uso y que se sobrescriban datos relevantes.

Qué debe reunir la víctima de phishing antes de la consulta

Antes de reunirse con su abogado o con el perito, compruebe que dispone de lo siguiente:

• Justificante del bloqueo de cuentas y tarjetas, con fecha y hora.
• Reclamación escrita al banco y copia del acuse de recibo.
• Denuncia policial, porque la entidad y el juzgado la pedirán.
• Dispositivo intacto, apagado o en modo avión.
• Extractos bancarios del periodo afectado, incluso de los días previos.

Preguntas frecuentes

¿Recupero el dinero si di yo mismo el código de verificación?

No necesariamente se pierde el derecho. Los tribunales valoran caso por caso si el engaño era tan elaborado que un usuario medio también habría caído. Precisamente, el informe pericial aporta la base técnica para esa valoración.

¿Cuánto tiempo tengo para reclamar?

Debe comunicar la operación no autorizada sin demora indebida en cuanto tenga conocimiento de ella. Además, la ley fija un límite máximo de trece meses desde el cargo. Aun así, cuanto antes actúe, más opciones tendrá de bloquear los fondos.

¿Sirve el peritaje si el dinero salió a una cuenta extranjera?

Sí. Aunque la recuperación frente al estafador resulte difícil, la reclamación contra la entidad sigue abierta. Además, el rastreo técnico ayuda a la investigación policial. Si el fraude afectó a una empresa mediante la suplantación de un directivo, le interesa nuestra guía sobre el fraude del CEO.

Si es víctima de phishing, hablemos de su caso

Si ha sido víctima de phishing en Sevilla o su provincia, llámenos al 900 649 252 o escríbanos desde nuestra página de contacto. Estudiaremos la viabilidad del peritaje y le enviaremos un presupuesto cerrado sin compromiso.

Casos prácticos relacionados: duplicado de SIM fraudulento y vaciado de cuentas en Carmona y estafa con factura falsa a una empresa agrícola de Utrera.