Las operaciones no autorizadas con una tarjeta o una cuenta suelen descubrirse de la forma más desagradable: una notificación en el móvil a las dos de la madrugada, un pago en una tienda en línea desconocida o una transferencia a una cuenta que nunca ha visto. En ese momento el pánico es comprensible, pero son precisamente las primeras horas las que determinan con qué facilidad recuperará su dinero. La ley está del lado del consumidor, pero solo si actúa con rapidez y deja constancia por escrito.
En este artículo explicamos qué hacer en las primeras 24 horas después de descubrir una operación de pago no autorizada, cuáles son las obligaciones del banco según la Ley de Servicios de Pago y Sistemas de Pago (Закон за платежните услуги и платежните системи, ЗПУПС), hasta qué importe puede responder usted y cuándo no responde en absoluto. Por separado, analizamos las estafas de phishing y vishing, en las que el propio cliente ha introducido un código o ha confirmado una transferencia.
¿Qué es una operación «no autorizada» en derecho?
Según el art. 70 de la Ley de Servicios de Pago y Sistemas de Pago, una operación de pago está autorizada si el ordenante la ordenó o dio su consentimiento para su ejecución. Sin consentimiento, la operación es no autorizada. Ejemplos típicos:
- pagos con una tarjeta robada o perdida;
- pagos en línea con datos de la tarjeta copiados (número, fecha de caducidad, código CVC);
- transferencias desde la banca en línea ordenadas por un tercero que accedió a su perfil;
- retiradas de efectivo en un cajero con una tarjeta clonada.
La situación es distinta cuando usted mismo ordenó la transferencia, aunque fuera bajo la influencia de un estafador (por ejemplo, una «inversión» o «poner a salvo su dinero» siguiendo las instrucciones de un falso empleado del banco). En ese caso, formalmente, usted dio su consentimiento y la protección es más limitada; analizamos esta distinción más abajo.
Operaciones no autorizadas: qué hacer en las primeras 24 horas
Las «24 horas» no son un plazo legal, sino práctico: la ley exige notificar sin demora, y cada hora perdida da tiempo a los estafadores para mover el dinero.
- Bloquee la tarjeta de inmediato. Utilice la aplicación móvil o la línea telefónica del banco disponible las 24 horas. El emisor de la tarjeta debe permitir que se le notifique en cualquier momento (art. 76, apdo. 1, punto 4, de la Ley de Servicios de Pago y Sistemas de Pago). Si la banca en línea está afectada, pida que se bloquee también el acceso y cambie sus contraseñas.
- Notifique al banco por escrito. Una llamada bloquea la tarjeta, pero no sustituye a la notificación escrita. Envíe un correo electrónico o presente una solicitud en una oficina, indicando expresamente qué operaciones impugna (fecha, importe, beneficiario) y que no las autorizó. Pida un número de registro.
- Denúncielo a la policía. La denuncia se presenta en la comisaría más cercana o en línea ante la Dirección General de Lucha contra la Delincuencia Organizada (ГДБОП), que tiene una unidad especializada en ciberdelincuencia. Necesitará el número de expediente para el banco y para un eventual pleito.
- Conserve las pruebas. Haga capturas de pantalla de los SMS, las notificaciones, los correos electrónicos, el historial de llamadas, los mensajes del estafador y los enlaces en los que hizo clic. No borre nada, aunque le resulte embarazoso.
- Pida un justificante de la notificación. A petición suya, el banco debe facilitarle, durante un máximo de 18 meses, la prueba de que usted le notificó (art. 76, apdo. 1, punto 5, de la Ley de Servicios de Pago y Sistemas de Pago).
Los mismos pasos se aplican cuando se realizan operaciones no autorizadas en la cuenta de un familiar fallecido: los herederos comunican al banco el fallecimiento y piden que se bloqueen las tarjetas y que se les facilite un extracto de los movimientos. Describimos cómo averiguan los herederos qué cuentas y créditos tenía el fallecido en nuestro artículo sobre cómo localizar la herencia: cuentas, inmuebles y participaciones sociales.
Nuestra experiencia: El error más frecuente es que el cliente se conforme con una llamada y un «lo revisaremos». Meses después el banco alega que la notificación fue tardía, y el cliente no tiene forma de demostrar lo contrario. La notificación escrita el primer día es el seguro más barato frente a una controversia así.
¿Cuándo debe devolverle el dinero el banco?
La regla básica está en el art. 79, apdo. 1, de la Ley de Servicios de Pago y Sistemas de Pago: en caso de operación de pago no autorizada, el proveedor de servicios de pago del ordenante devuelve su importe de inmediato y, en todo caso, a más tardar al final del día hábil siguiente a aquel en que haya constatado la operación o se le haya notificado. La cuenta debe quedar en el estado en que habría estado si no se hubiera producido la operación no autorizada, con fecha valor no posterior a la fecha del cargo.
La ley admite una excepción: el banco puede abstenerse de devolver el importe en ese plazo si tiene motivos razonables para sospechar fraude y lo comunica a las autoridades competentes. Si el banco se acoge a ello, pídale por escrito que indique en qué consiste la sospecha y ante qué autoridad se presentó la comunicación.
¿De cuánto tiempo dispone para notificar al banco?
Según el art. 77, apdo. 1, de la Ley de Servicios de Pago y Sistemas de Pago, el banco corrige una operación no autorizada solo si usted se lo notificó sin demora indebida después de tener conocimiento de ella, pero a más tardar en 13 meses desde la fecha del cargo. Se considera que tuvo conocimiento, como muy tarde, cuando recibió la información sobre la operación (extracto, notificación). Los trece meses son un límite máximo, no una recomendación.
¿Hasta qué importe responde usted?
La Ley de Servicios de Pago y Sistemas de Pago reparte el riesgo entre el banco y el cliente según las circunstancias. La tabla lo resume:
| Situación | Quién soporta la pérdida | Fundamento legal |
|---|---|---|
| Tarjeta perdida, robada o sustraída (hasta la notificación) | El cliente, hasta el importe pactado, pero no más de 50 EUR | Art. 80, apdo. 1, de la Ley de Servicios de Pago y Sistemas de Pago |
| El cliente no podía detectar la pérdida o el robo antes del pago | El banco (salvo que el cliente actuara de forma fraudulenta) | Art. 80, apdo. 2, punto 1 |
| El daño lo causó un empleado o subcontratista del banco | El banco | Art. 80, apdo. 2, punto 2 |
| Operaciones posteriores a la notificación al banco | El banco (salvo que el cliente actuara de forma fraudulenta) | Art. 80, apdo. 5 |
| El banco no exigió autenticación reforzada del cliente | El banco (salvo que el cliente actuara de forma fraudulenta) | Art. 80, apdo. 4 |
| El cliente actuó de forma fraudulenta o, de forma intencionada o por negligencia grave, no protegió la tarjeta y los códigos | El cliente, íntegramente y sin límite | Art. 80, apdo. 3 |
El límite de 50 EUR se aplica desde el 1 de enero de 2026 (modificación publicada en el Boletín Oficial búlgaro, Държавен вестник, n.º 64 de 2025). Antes, el importe estaba fijado en levas. En un robo de tarjeta corriente, sin negligencia por su parte, su riesgo es de hasta 50 EUR, y después de notificar al banco es cero.
La carga de la prueba corresponde al banco
Es quizá la protección más importante para el consumidor. Cuando usted afirma que no autorizó una operación, el banco tiene la carga de probar que la operación fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por una avería técnica (art. 78, apdo. 1, de la Ley de Servicios de Pago y Sistemas de Pago).
Aún más significativa es la regla del art. 78, apdo. 4: el uso registrado de la tarjeta o de los códigos, por sí solo, no es prueba suficiente de que usted autorizó la operación ni de que actuó con negligencia grave. El banco debe aportar pruebas de fraude o de negligencia grave por su parte.
¿Qué significa la falta de autenticación reforzada del cliente (SCA)?
La autenticación reforzada del cliente (SCA) prevista en el art. 100 de la Ley de Servicios de Pago y Sistemas de Pago exige al menos dos elementos independientes de tres categorías: algo que solo usted conoce (PIN, contraseña), algo que solo usted posee (teléfono, tarjeta) y algo que usted es (huella dactilar, reconocimiento facial). En los pagos en línea, estos elementos deben vincular la operación a un importe y un beneficiario concretos.
Si el banco no exigió dicha autenticación, el ordenante no soporta pérdidas, salvo que él mismo actuara de forma fraudulenta (art. 80, apdo. 4). Si el pago se realizó solo con los datos de la tarjeta, sin confirmación adicional, su posición mejora considerablemente.
Phishing y vishing: cuando lo «confirmó» usted mismo
Los litigios más frecuentes hoy en día se refieren a estafas con páginas web falsas, SMS y llamadas de un «empleado del banco» o de «la policía». Aquí hay dos escenarios distintos.
El estafador ordenó la operación con sus datos
Usted introdujo los datos de su tarjeta o el código de un SMS en una página web falsa, y el pago lo realizó el estafador. La operación no la ordenó usted, por lo que, por regla general, es no autorizada. El banco suele objetar que actuó con negligencia grave, pero la ley exige que sea el banco quien lo pruebe. Que revelar un código sea negligencia grave u ordinaria depende de los hechos: lo convincente que fuera la estafa, lo que decía el SMS con el código y si el banco había advertido de esquemas similares. No hay una respuesta automática.
Usted mismo ordenó la transferencia
Si, siguiendo las instrucciones de un estafador, usted mismo entró en la banca en línea y ordenó una transferencia a una «cuenta segura» o a una «plataforma de inversión», la operación fue autorizada formalmente por usted. El mecanismo de devolución inmediata del art. 79 no se aplica, en principio. Esto no significa necesariamente que el dinero esté perdido, pero la vía es distinta:
- pida de inmediato a su banco que contacte con el banco del beneficiario para intentar recuperar los fondos (cuanto antes lo haga, más probable es que el dinero siga ahí);
- denúncielo a la policía con todos los datos de la cuenta del beneficiario;
- compruebe si el banco cumplió sus obligaciones de seguridad e información; para las transferencias en euros, el Reglamento (UE) 2024/886 obliga al banco a verificar si el nombre del beneficiario coincide con el IBAN y a advertirle si hay una discrepancia. El Reglamento es directamente aplicable y rige en Bulgaria sin necesidad de una ley específica. Si el banco no realizó esta comprobación, puede ser relevante para su responsabilidad;
- interponga una demanda contra quien recibió el dinero.
El receptor suele ser una llamada «mula de dinero»: una persona que puso su cuenta a disposición a cambio de un pago. Se le puede demandar para que devuelva lo que recibió sin causa legal (enriquecimiento injusto, art. 55 de la Ley de Obligaciones y Contratos, ЗЗД). Describimos cómo se desarrollan estos procedimientos, hasta la ejecución a través de un agente de ejecución privado (ЧСИ), en nuestro artículo sobre el cobro de créditos impagados.
El banco se niega: ¿y ahora qué?
Una negativa estándar que alega una «operación confirmada correctamente» no es definitiva.
- Reclamación escrita al banco. Todo banco tiene un procedimiento interno de reclamaciones. Debe dar una decisión por escrito en un plazo de 15 días hábiles desde la recepción de la reclamación; excepcionalmente, por motivos ajenos a su control y con aviso expreso del retraso, el plazo puede ampliarse, pero no más de 35 días hábiles (art. 174, apdos. 3 y 4, de la Ley de Servicios de Pago y Sistemas de Pago). En la reclamación, remítase expresamente a los arts. 78 y 80 de la Ley de Servicios de Pago y Sistemas de Pago y pida las pruebas en las que el banco basa su negativa.
- Comisión de Conciliación de Litigios de Pago. Si el banco no responde a tiempo o su respuesta no le satisface, puede acudir a la Comisión de Conciliación de Litigios de Pago (Помирителна комисия за платежни спорове), adscrita a la Comisión de Protección del Consumidor (КЗП) (art. 174, apdo. 5, y art. 175 de la Ley de Servicios de Pago y Sistemas de Pago). El procedimiento es gratuito para las partes (art. 180), y la solicitud también puede presentarse en línea a través de la web de la Comisión de Protección del Consumidor. La propuesta de la comisión solo vincula a las partes si ambas la aceptan.
- Denuncia ante el Banco Nacional de Bulgaria. El Banco Nacional de Bulgaria (БНБ) supervisa a los bancos y entidades de pago. Una denuncia puede dar lugar a una inspección y a medidas contra el banco, pero el BNB no resuelve el litigio concreto ni concede cantidades.
- Demanda judicial. Solo un tribunal puede ordenar de forma definitiva la devolución del dinero. En una demanda contra el banco, la carga de la prueba del art. 78 de la Ley de Servicios de Pago y Sistemas de Pago vuelve a jugar a favor del consumidor, y además del principal pueden reclamarse los intereses legales.
Cómo preparar una reclamación sólida
Una buena reclamación se construye en los primeros días. Elabore una cronología con horas exactas: cuándo recibió el mensaje, cuándo supo de la operación, cuándo notificó al banco. Adjunte el extracto, la denuncia policial y la correspondencia con el banco. Pida al banco por escrito información sobre qué elementos de autenticación se usaron para confirmar cada operación, y desde qué dispositivo y dirección IP.
Revise también sus pólizas de seguro: algunas aseguradoras ofrecen cobertura por uso fraudulento de tarjetas como riesgo adicional, y en caso de robo en la vivienda también puede reclamarse una indemnización por lo sustraído. Más información en nuestro artículo sobre el seguro de hogar por inundación, incendio y robo.
Si el importe es significativo o el banco se niega de forma persistente, el asesoramiento de un abogado especialista en derecho bancario puede cambiar el resultado. Explicamos cómo valorar si un abogado es el adecuado para un litigio concreto en nuestro artículo sobre cómo elegir un buen abogado y qué preguntarle.
Preguntas frecuentes (FAQ)
¿De cuánto tiempo dispone el banco para devolver el dinero sustraído?
Según el art. 79 de la Ley de Servicios de Pago y Sistemas de Pago, el banco debe devolver el importe de una operación no autorizada de inmediato y, a más tardar, al final del día hábil siguiente a la notificación. La única excepción es que exista una sospecha razonable de fraude por parte del cliente, que el banco debe comunicar a las autoridades competentes.
¿Hasta qué importe respondo si me roban la tarjeta?
Si no actuó de forma fraudulenta ni con negligencia grave, su responsabilidad por las operaciones anteriores a la notificación al banco se limita al importe pactado, pero no más de 50 EUR (art. 80, apdo. 1, de la Ley de Servicios de Pago y Sistemas de Pago, en vigor desde el 1 de enero de 2026). No responde en absoluto de las operaciones posteriores a la notificación.
El banco dice que la operación se confirmó con mi código. ¿Pierdo el litigio?
No necesariamente. Según el art. 78, apdo. 4, de la Ley de Servicios de Pago y Sistemas de Pago, el uso registrado de la tarjeta o de los códigos no prueba por sí solo que usted autorizara la operación ni que actuara con negligencia grave. El banco debe aportar pruebas de ello.
¿Cuál es el plazo máximo para impugnar una operación?
El plazo legal es de 13 meses desde la fecha del cargo en la cuenta (art. 77 de la Ley de Servicios de Pago y Sistemas de Pago). No obstante, la ley exige notificar sin demora indebida una vez que tenga conocimiento de la operación, por lo que lo mejor es notificar al banco el mismo día en que la descubra.
¿Puedo recuperar mi dinero si yo mismo hice la transferencia a un estafador?
La operación está formalmente autorizada y no se aplica la regla de devolución inmediata. Queda el intento de recuperación a través del banco del beneficiario, la denuncia a la policía y una demanda contra el receptor por lo que recibió sin causa legal. Describimos cómo se cobra un crédito así en nuestro artículo sobre el cobro de créditos impagados, del requerimiento de pago al agente de ejecución.
¿Debo denunciarlo a la policía si el banco me va a devolver el dinero?
Sí. La denuncia documenta el fraude, permite localizar a los autores y a menudo la exige el propio banco. El número de expediente también es útil ante la Comisión de Conciliación o ante el tribunal.
¿De cuánto tiempo dispone el banco para responder a mi reclamación?
El banco debe dar una decisión por escrito en un plazo de 15 días hábiles desde la recepción de la reclamación. Excepcionalmente, si el retraso se debe a motivos ajenos a su control y se lo comunica, el plazo puede llegar a 35 días hábiles (art. 174 de la Ley de Servicios de Pago y Sistemas de Pago).
¿Qué hace la Comisión de Conciliación de Litigios de Pago?
Es un órgano de resolución extrajudicial de litigios adscrito a la Comisión de Protección del Consumidor. El procedimiento es gratuito, y la propuesta de la comisión tiene fuerza de acuerdo transaccional solo si ambas partes la aceptan. Si el banco no la acepta, queda la vía judicial.
¿Cubre el seguro de hogar el uso fraudulento de la tarjeta bancaria?
El seguro estándar del inmueble normalmente no cubre el uso fraudulento de tarjetas. Algunas aseguradoras ofrecen esta cobertura como riesgo adicional, así que revise las condiciones generales de su póliza. Para más información sobre coberturas y rechazos, consulte nuestro artículo sobre el seguro de hogar y el rechazo de siniestros.
¿Qué debo hacer si hay operaciones no autorizadas en la cuenta de un familiar fallecido?
Los herederos comunican al banco el fallecimiento con el certificado de herederos y piden que se bloqueen las tarjetas y que se les facilite un extracto de los movimientos de la cuenta. Explicamos cómo se identifican las cuentas de una persona fallecida en nuestro artículo sobre cómo localizar las cuentas bancarias y los inmuebles de un fallecido.
¿Cuándo merece la pena contratar a un abogado?
Cuando el importe es significativo, el banco alega negligencia grave o el caso se refiere a una transferencia que usted ordenó bajo la influencia de un estafador. Consulte qué preguntar a un abogado en la primera consulta.
¿Cómo podemos ayudarle?
El Despacho de Abogados Mechkova & Dimitrova asiste a clientes en litigios con bancos y entidades de pago por operaciones no autorizadas: desde la redacción de la notificación escrita y la reclamación al banco, pasando por el procedimiento ante la Comisión de Conciliación de Litigios de Pago, hasta la demanda judicial y las reclamaciones contra quienes recibieron el dinero.
Cada caso depende de sus hechos concretos y no podemos prometer un resultado de antemano, pero sí podemos valorar sus posibilidades y dar rápidamente los pasos adecuados. Contacte con nosotros para una consulta sobre su caso lo antes posible después de descubrir la operación no autorizada.
