Protección y continuidad
Si alguien usa tus claves sin permiso, el banco debe devolverte el dinero al día hábil siguiente. Qué dice la ley, qué cambió en 2026 y qué hacer.
Un lunes por la mañana abres la aplicación del banco y ves un cargo de 3.400 euros que nadie de tu empresa ha hecho. El estómago se encoge. La primera pregunta llega sola: ¿ese dinero se ha perdido?
En muchos casos, no. La ley española obliga al banco a devolver de inmediato las operaciones que tú no has autorizado. Y una sentencia europea de octubre de 2026 ha dejado claro que no puede retrasarlo con excusas.
Pero hay un matiz que lo cambia todo: quién dio la orden de pago. Te lo explicamos sin tecnicismos, con lo que dice la norma y qué hacer en las primeras horas.
En este artículo
Todo depende de una palabra: autorizada. Para la ley, una operación está autorizada cuando la ordena el titular o alguien de su empresa con permiso para hacerlo. Da igual que lo hiciera engañado.
Piensa en las llaves de tu oficina. Si alguien hace una copia sin que lo sepas y entra de noche, es un robo. Si tú mismo le abres la puerta a un falso técnico, la puerta la abriste tú. En los dos casos te han engañado, pero la ley los trata de forma muy distinta.
No autorizada (el banco debe devolver): alguien usa tus claves robadas, clona una tarjeta o entra en la banca online y hace transferencias que nadie de tu empresa ordenó.
Autorizada (el banco no está obligado a devolver): alguien de tu equipo hace la transferencia, aunque sea por un correo falso del «director» o por una factura con el IBAN cambiado. Es lo que pasa en el fraude del CEO y en el fraude de facturas falsas.
| Situación | ¿Autorizada? | Qué puedes esperar del banco |
|---|---|---|
| Cargos de una tarjeta clonada o robada | No | Devolución como tarde al día hábil siguiente |
| Transferencias desde tu banca online con claves robadas | No | Devolución como tarde al día hábil siguiente, salvo sospecha de fraude comunicada al Banco de España |
| Diste tus claves o un código por teléfono a un falso empleado del banco | Depende: el banco puede alegar negligencia grave | Primero debe devolver; después puede reclamarte si lo demuestra |
| Un empleado paga una factura con el IBAN cambiado | Sí | No está obligado a devolver; avisa ya para intentar frenarla |
| Un empleado transfiere por un correo falso del gerente | Sí | No está obligado a devolver; avisa ya para intentar frenarla |
Si te reconoces en las dos primeras filas, tienes la ley de tu parte. Si estás en las dos últimas, la clave es la velocidad, y te lo contamos más abajo.
¿Podría alguien mover dinero de tu empresa con tus claves mañana?
En el diagnóstico gratuito revisamos cómo entra tu equipo al banco y al correo, y te decimos qué cerrar primero.
La norma es el Real Decreto-ley 19/2018 de servicios de pago, que traslada a España la directiva europea PSD2. Tiene cuatro ideas que conviene conocer.
El artículo 45 dice que el banco devolverá el importe de la operación no autorizada de inmediato y, como tarde, al final del día hábil siguiente a aquel en que la vio o se la notificaste.
Solo hay una excepción: que el banco tenga motivos razonables para sospechar fraude del propio cliente y se los comunique por escrito al Banco de España. No vale con decirlo por teléfono.
El artículo 44 pone la carga de la prueba en el banco. Que su sistema registre que se usaron tus claves no basta, por sí solo, para demostrar que autorizaste la operación ni que fuiste negligente.
Es como un seguro de hogar que no puede negarte la cobertura solo porque la puerta no está forzada. Tiene que demostrar que te la dejaste abierta.
El artículo 46 fija que, como norma general, el titular puede soportar hasta 50 euros de pérdida si le robaron o perdió el instrumento de pago.
Esa franquicia desaparece en dos casos: si actuaste de forma fraudulenta o si incumpliste por negligencia grave tus obligaciones, como proteger tus claves. Y al revés: si el banco no te pidió autenticación reforzada (la clave más el código del móvil, por ejemplo), solo pagas si hubo fraude por tu parte.
El artículo 43 te pide comunicarlo sin demora injustificada y, en todo caso, dentro de los 13 meses siguientes al cargo. Cuanto antes, mejor: cada día cuenta para frenar el dinero.
Durante años, algunos bancos respondían a muchas reclamaciones con la misma frase: «usted dio sus claves, fue negligencia grave, no le devolvemos nada». Y el cliente tenía que ir a juicio para recuperar su dinero.
El 15 de octubre de 2026, el Tribunal de Justicia de la Unión Europea resolvió el asunto C-70/25. Su conclusión es que el banco no puede negarse a devolver de inmediato una operación no autorizada alegando que el cliente cometió una negligencia grave.
El orden queda así. Primero, el banco devuelve. Después, si cree que hubo negligencia grave, puede reclamarte el dinero por las vías legales y demostrarlo él.
Es como un seguro de coche que te repara primero y luego discute con el otro conductor de quién fue la culpa. La discusión sobre quién tuvo la culpa sigue existiendo, pero ya no es una excusa para quedarse tu dinero mientras tanto.
Ojo con lo que no cambia: la sentencia habla de operaciones no autorizadas. Si la transferencia la hizo alguien de tu empresa, sigue siendo una orden válida.
Aquí está el detalle que casi nadie explica. La ley protege igual a los particulares y a las microempresas. El artículo 3 define microempresa como la que tiene menos de 10 personas y un volumen de negocio o un balance anual de hasta 2 millones de euros. Los autónomos también cuentan.
Si tu empresa es más grande, el artículo 34 permite que el contrato con el banco excluya parte de esta protección: entre otras, las reglas de la carga de la prueba y del límite de 50 euros. La obligación de devolver de inmediato del artículo 45 no está en esa lista.
Además, para cualquier cliente que no sea consumidor, incluidas las microempresas, el contrato puede fijar un plazo distinto de los 13 meses para reclamar.
Qué hacer: busca el contrato de tu cuenta de empresa y revisa dos cosas. Si excluye artículos del Real Decreto-ley 19/2018 y qué plazo te da para avisar. Si no lo encuentras, pídeselo a tu gestor del banco. Es una consulta de cinco minutos que te ahorra sorpresas.
La calma aquí no es quedarse quieto. Es seguir un orden.
Usa el teléfono que aparece en tu tarjeta o en la web oficial del banco, nunca uno que te llegue por SMS o correo. Pide que bloqueen la tarjeta o el acceso a la banca online y que intenten parar las transferencias pendientes.
Llamar no basta: deja constancia. Un correo o un escrito al servicio de atención al cliente del banco con la fecha, los importes y una frase clara: «No he autorizado estas operaciones y solicito su devolución conforme al artículo 45 del Real Decreto-ley 19/2018».
La denuncia ayuda en la reclamación y deja constancia de que eres la víctima. Lleva capturas de los cargos, correos o mensajes sospechosos y la hora en que lo detectaste.
Cambia la contraseña de la banca online y la del correo de la empresa, porque muchas veces el problema empieza ahí. Si no lo tenías, activa el doble factor de autenticación. Si sospechas que han entrado en tus sistemas, sigue la guía de qué hacer en las próximas 72 horas.
Según el Portal del Cliente Bancario del Banco de España, primero tienes que reclamar al servicio de atención al cliente de tu banco. Si en reclamaciones de servicios de pago no te contestan en 15 días hábiles, o no estás de acuerdo, puedes reclamar ante el Banco de España.
Guarda una carpeta con todo: el escrito, la respuesta del banco, la denuncia y las capturas. Si hay que ir más lejos, te ahorrará mucho tiempo.
Es el caso más duro, porque para el banco la orden era válida. Aun así, hay margen si reaccionas rápido.
Llama a tu banco en cuanto lo detectes y pide que contacte con el banco de destino para intentar retener el dinero. Si la transferencia aún no ha salido o el dinero sigue en la cuenta de destino, a veces se consigue frenar. Pasadas unas horas, es mucho más difícil.
Después, sigue los mismos pasos: denuncia, guarda pruebas y revisa cómo entró el engaño. En estos casos, la mejor protección no es la ley, sino un hábito: confirmar por teléfono, a un número que ya tenías, cualquier cambio de cuenta o pago urgente.
Lo mismo pasa cuando alguien acepta una solicitud de Bizum creyendo que está cobrando. Te explicamos cómo evitarlo en ¿Es seguro cobrar con Bizum en mi negocio?.
La ley te protege, pero reclamar siempre cuesta tiempo y disgustos. Estas medidas cierran la mayoría de puertas:
Doble factor en el banco y en el correo. Si alguien roba una contraseña, no le basta para entrar.
Firma doble para pagos grandes. Que las transferencias por encima de un importe necesiten la aprobación de dos personas. La mayoría de bancos lo permiten en la banca de empresa.
Alertas de cada cargo en el móvil. Cuanto antes lo veas, antes lo frenas.
Nadie da claves ni códigos por teléfono. Tu banco nunca te los va a pedir. Explícalo a tu equipo con un ejemplo, no con un manual.
Revisar quién tiene acceso a la banca online. Personas que ya no están, contraseñas compartidas o usuarios genéricos son una puerta abierta.
Si alguien hace una operación que nadie de tu empresa autorizó, el banco tiene que devolvértela como tarde al día hábil siguiente. Desde la sentencia europea de octubre de 2026, no puede negarse alegando negligencia grave: primero devuelve y, si quiere, después lo discute.
Si eres autónomo o microempresa, tienes la misma protección que un particular. Si tu empresa es más grande, revisa tu contrato. Y si la transferencia la hizo alguien de tu equipo, la clave es la velocidad.
Conocer tus derechos no evita el susto, pero sí convierte el pánico en una lista de pasos.
Si quieres saber si tu empresa está preparada para que esto no pase, pide el diagnóstico inicial gratuito de CALMA. Son 20 minutos, sin compromiso y sin tecnicismos.
Si la operación no la autorizó nadie de tu empresa, sí. El Real Decreto-ley 19/2018 obliga al banco a devolverla de inmediato y, como tarde, al final del día hábil siguiente a que la notifiques. Solo puede retenerla si sospecha fraude del propio cliente y lo comunica por escrito al Banco de España.
Es un pago que no ha ordenado el titular ni nadie con permiso en su empresa. Por ejemplo, transferencias hechas con claves robadas, cargos de una tarjeta clonada o accesos a la banca online por parte de un tercero. Si la orden la dio alguien de tu equipo, aunque fuera engañado, para la ley está autorizada.
No de entrada. El Tribunal de Justicia de la UE dijo el 15 de octubre de 2026 que el banco no puede negarse a devolver de inmediato alegando negligencia grave del cliente. Primero devuelve. Después, si cree que la hubo, puede reclamarte por las vías legales y tendrá que demostrarlo él.
Si eres autónomo o microempresa, sí: menos de 10 personas y hasta 2 millones de euros de facturación o balance anual. Si tu empresa es más grande, el contrato con el banco puede excluir parte de la protección, como las reglas de la prueba o el límite de 50 euros. Revisa tu contrato.
La ley pide avisar sin demora injustificada y fija un máximo de 13 meses desde el cargo. En cuentas de empresa, el contrato puede fijar un plazo distinto, así que conviene revisarlo. En la práctica, lo importante es avisar en cuanto lo veas: cada hora cuenta para frenar el dinero.
Entonces la transferencia la hizo alguien de tu empresa y la orden es válida para el banco. No está obligado a devolverla. Lo que sí puedes hacer es llamar enseguida para que intente retener el dinero en el banco de destino, denunciar y guardar todas las pruebas. La rapidez es clave.
Primero reclama por escrito al servicio de atención al cliente del banco. Si en reclamaciones de servicios de pago no te responde en 15 días hábiles, o no estás de acuerdo, puedes reclamar ante el Banco de España. Guarda la reclamación, la respuesta, la denuncia y las capturas en una carpeta.
Como norma general, hasta 50 euros si te robaron o perdiste el instrumento de pago. Esa franquicia desaparece si actuaste con fraude o negligencia grave, que debe probar el banco. Y si el banco no te pidió autenticación reforzada, como un código en el móvil, solo pagas si hubo fraude por tu parte.
¿Quieres saber cómo está tu empresa?
Empieza con un diagnóstico inicial gratuito. Te lo presentamos en 20 minutos, con un plan claro. Sin compromiso y sin tecnicismos.
