BBVA es el banco con más víctimas de phishing en España. Con más de 14 millones de clientes digitales, se ha convertido en el objetivo prioritario de los ciberdelincuentes. Los fraudes más habituales incluyen SMS fraudulentos («estafa BBVA SMS»), llamadas falsas del servicio de atención al cliente y páginas web clonadas de la banca online.
Si te han estafado mediante phishing en BBVA, la ley está de tu lado. El banco tiene la obligación de devolverte el dinero salvo que demuestre que actuaste con negligencia grave — algo que los tribunales rechazan en la inmensa mayoría de casos.
Cómo funcionan las estafas por phishing en BBVA
SMS fraudulento (smishing BBVA)
Recibes un SMS que aparece en el mismo hilo de mensajes que los SMS legítimos de BBVA. El mensaje te alerta de un problema de seguridad, un cargo sospechoso o un bloqueo de cuenta, y te invita a pulsar un enlace. Si pinchas, llegas a una web idéntica a la de BBVA donde introduces tus credenciales. Con ellas, el estafador accede a tu banca online.
La SAP Barcelona 2039/2026 (ECLI:ES:APB:2026:2039) explica el mecanismo técnico: «El remitente puede poner un código numérico, un código alfanumérico (bbva1, 2, 14, etc.), o un código alfabético (como bbva), pero el teléfono los agrupa como si fueran de la entidad bancaria. El suplantador intenta hacer creíble lo que es falso. La brecha de seguridad no utiliza el sistema bancario (…) El banco no puede evitar el mensaje, pues no interviene en esa comunicación.»
Llamada falsa del banco (vishing BBVA)
Tras el SMS, recibes una llamada que muestra el número oficial de BBVA en tu pantalla (caller ID spoofing). El supuesto operador te pide códigos OTP para «cancelar» operaciones fraudulentas. En realidad, cada código que facilitas autoriza una transferencia o compra.
Web clonada de BBVA
Página web visualmente idéntica a bbva.es que captura tus credenciales de acceso. El enlace suele llegar por SMS, email o incluso por anuncios de Google.
Sentencias contra BBVA: los tribunales condenan al banco
SAP Barcelona 2039/2026 — 13.940 € recuperados
El demandante recibió un SMS en el hilo de BBVA que le dirigió a una web falsa. Tras introducir sus credenciales, se ejecutaron compras por 13.940,50 € en Madrid mientras el titular estaba en Barcelona. La Audiencia Provincial de Barcelona analizó la responsabilidad bajo los artículos 44-46 del RDL 19/2018 y condenó a BBVA a la devolución íntegra.
SAP Valencia 699/2026 — BBVA condenado por responsabilidad cuasi-objetiva
La empresa Puzzle Kit SL sufrió un cargo no autorizado de 4.984 € por phishing. BBVA bloqueó la cuenta pero se negó a devolver el dinero. La Audiencia Provincial de Valencia revocó la sentencia de primera instancia (que había dado la razón a BBVA) y condenó al banco. Clave de la sentencia: «No corresponde a la parte actora acreditar si la entidad bancaria incurrió en negligencia (…) sino si el usuario ha incurrido en fraude o negligencia grave, que es cuestión radicalmente distinta».
La sentencia cita expresamente la STS 571/2025 del Tribunal Supremo como doctrina aplicable, desestimando el argumento de BBVA de que la seguridad del dispositivo del usuario es responsabilidad del cliente.
SAP Zaragoza 2804/2024 — 80% responsabilidad BBVA
Caso de smishing donde la víctima facilitó un cambio de vinculación de dispositivo tras recibir un SMS fraudulento. La primera instancia estableció una responsabilidad compartida: 80% del banco y 20% del usuario. La Audiencia Provincial consideró que incluso ese 20% de responsabilidad al usuario era cuestionable, dado que «la negligencia grave debe surgir por iniciativa del usuario, no como consecuencia del engaño tramado por un tercero».
SAP Barcelona 7288/2025 — 3.649 € por compras no autorizadas
Cuatro compras no autorizadas por 3.649,50 € en la tarjeta vinculada a la cuenta BBVA del demandante. Este llevaba 25 años como cliente sin haber realizado transferencias inmediatas. El tribunal valoró este historial como indicador de que las operaciones no fueron consentidas.
¿Por qué BBVA debe devolverte el dinero? Marco legal
El Real Decreto-ley 19/2018 establece un marco claro:
- Art. 44: La carga de la prueba corresponde al banco. BBVA debe demostrar que la operación fue correctamente autenticada y que no hubo fallos técnicos. Además, debe probar que actuaste con negligencia grave (art. 44.3).
- Art. 45: BBVA debe devolverte el importe de inmediato, a más tardar al día hábil siguiente a la notificación.
- Art. 46: Solo estás obligado a soportar pérdidas si actuaste con fraude o negligencia grave. En cualquier otro caso, tu responsabilidad máxima es de 50 €.
- Art. 46.2: Si BBVA no exigió autenticación reforzada del cliente, solo respondes si actuaste fraudulentamente — ni siquiera por negligencia grave.
Pasos para reclamar a BBVA por phishing
- Llama al 900 102 801 (línea de atención al cliente de BBVA) y notifica la operación no autorizada.
- Presenta denuncia ante la Policía Nacional o Guardia Civil.
- Reclama por escrito al Servicio de Atención al Cliente de BBVA (SAC), invocando el art. 45 RDL 19/2018.
- Si BBVA rechaza tu reclamación (plazo: 15 días hábiles), reclama ante el Banco de España.
- Si persiste la negativa, presenta demanda judicial. La jurisprudencia es contundente a tu favor. Consulta nuestra guía paso a paso.
¿Cuánto puedo recuperar y cuánto cuesta reclamar?
Recuperas el 100% del importe estafado, más intereses legales desde la fecha de la estafa. En cuanto al coste, si BBVA pierde (y la estadística dice que pierde), el banco es condenado en costas: es decir, BBVA paga tus gastos de abogado y procurador. Ver precios orientativos.
Señales para identificar un SMS falso de BBVA
Los SMS de phishing que suplantan a BBVA comparten patrones reconocibles. Conocerlos no exime al banco de responsabilidad, pero puede evitar futuros incidentes:
- Urgencia artificial: mensajes como «Su cuenta será bloqueada en 24 horas» o «Movimiento sospechoso de 1.890 €». BBVA no envía alertas con plazos perentorios por SMS.
- Enlaces acortados o con dominios extraños: la banca online de BBVA solo opera en
bbva.esybbva.com. Cualquier otro dominio (bbva-seguridad.com, bbva-alertas.es) es fraudulento. - Solicitud de credenciales: BBVA nunca pide por SMS o llamada tu clave de acceso, PIN de tarjeta ni códigos OTP completos.
- Errores ortográficos sutiles: tildes omitidas, mayúsculas irregulares o gramática incorrecta.
Importante: que la víctima no detectara estas señales no constituye negligencia grave. La SAP Barcelona 2039/2026 es clara: «la negligencia grave debe surgir por iniciativa del usuario, no como consecuencia del engaño tramado por un tercero». El estándar de diligencia exigible es el de un consumidor medio, no el de un experto en ciberseguridad.
¿Qué hace BBVA cuando reclamas? Argumentos habituales del banco
Tras recibir una reclamación por phishing, BBVA suele responder con argumentos recurrentes que los tribunales han ido desmontando:
- «Usted facilitó voluntariamente sus claves»: los tribunales distinguen entre consentimiento libre y consentimiento viciado por engaño. La SAP Valencia 699/2026 establece que facilitar datos bajo engaño no equivale a autorizar la operación.
- «Nuestros sistemas de seguridad funcionaron correctamente»: el art. 44 RDL 19/2018 invierte la carga de la prueba. No basta con que el sistema técnico funcionase: BBVA debe demostrar que el cliente actuó con fraude o negligencia grave.
- «La operación fue autenticada con doble factor»: que se usara un código OTP no prueba que la autenticación fuera voluntaria. Si el código fue obtenido mediante ingeniería social, la operación sigue siendo no autorizada.
- «El cliente debió comprobar la URL»: la SAP Zaragoza 2804/2024 rechaza este argumento: un consumidor medio no tiene por qué ser experto en verificación de URLs, especialmente cuando el SMS llega en el hilo legítimo del banco.
Preguntas frecuentes sobre phishing en BBVA
¿Cuánto tarda BBVA en devolver el dinero tras la reclamación?
El art. 45 del RDL 19/2018 obliga al banco a devolver el importe al día hábil siguiente a la notificación de la operación no autorizada. En la práctica, BBVA rara vez cumple este plazo voluntariamente, por lo que suele ser necesaria la reclamación formal al SAC y, frecuentemente, la vía judicial.
¿Puedo reclamar si ya han pasado meses desde la estafa?
Sí. El plazo de prescripción para reclamar operaciones de pago no autorizadas es de 13 meses desde la fecha del cargo (art. 43 RDL 19/2018). Para la acción judicial por responsabilidad contractual, el plazo es de 5 años. Consulta nuestra guía de plazos.
¿Necesito abogado para reclamar a BBVA?
Para reclamaciones inferiores a 2.000 €, el juicio verbal no requiere abogado ni procurador obligatoriamente. Sin embargo, la experiencia muestra que contar con representación letrada especializada mejora sustancialmente el resultado: el abogado conoce los argumentos de BBVA y la jurisprudencia aplicable. Además, si BBVA pierde, es condenado en costas. Ver costes del proceso.
¿Y si BBVA dice que fui negligente?
La carga de probar la negligencia grave corresponde a BBVA, no a la víctima. Los tribunales aplican un estándar muy estricto: caer en un engaño sofisticado (SMS en hilo oficial + llamada con número suplantado) no es negligencia grave. La STS 571/2025 del Tribunal Supremo ha fijado doctrina clara al respecto.
¿Te han estafado en BBVA? Hemos ganado casos contra este banco
Conocemos las sentencias, la estrategia de defensa de BBVA y sus puntos débiles. Analizamos tu caso sin compromiso.
Guías específicas: Bankinter, Ibercaja, Kutxabank y Abanca.
\n\nServicio relacionado: Abogado phishing y estafas bancarias
🔍 ¿Ha sido víctima de phishing? Haga el test gratuito de phishing bancario y descubra si puede recuperar su dinero.
¿Necesita asesoramiento jurídico?
Explíquenos su situación. Primera consulta orientativa sin compromiso.
