En resumen
Una estafa online no se resuelve con un único formulario ni con un plazo universal. Actúa pronto, conserva la información original, avisa al banco por un canal oficial si el pago puede ser no autorizado y presenta una denuncia con un relato ordenado. Después hay que separar tres preguntas: si existe un posible delito, si el pago fue autorizado y qué relación de consumo o contrato había.
- Si no reconoces la operación: comunícala al proveedor de servicios de pago sin demora injustificada. El límite de 13 meses del artículo 43.1 del RDL 19/2018 es un máximo para determinadas operaciones no autorizadas o ejecutadas incorrectamente, no un plazo para esperar.
- Si introdujiste datos o confirmaste la operación porque te engañaron: esos hechos pueden ser indicios de autenticación, pero no prueban por sí solos que prestaras consentimiento. Hay que aplicar los artículos 36 y 44 y no dar por supuesto ni el reembolso ni su exclusión.
- Si el vendedor existía y no entregó: puede ser un incumplimiento contractual o de consumo. Una web falsa tampoco convierte por sí sola cualquier impago en estafa: deben comprobarse sus elementos.
1. Actúa sin borrar pruebas
- Contacta con el banco usando la aplicación o el teléfono que ya tenías, no un enlace recibido en el mensaje sospechoso. Pide bloqueo o sustitución del instrumento cuando corresponda y conserva el número de incidencia.
- Cambia las contraseñas afectadas desde un dispositivo fiable, revoca accesos remotos y activa medidas de seguridad. Si el incidente afecta a una cuenta de correo, protege primero esa cuenta.
- Guarda la web y el anuncio tal como los ves, la URL completa, fecha y hora, correos con sus cabeceras cuando estén disponibles, chats completos, justificantes, extractos, IBAN o identificador de la operación, nombre que aparece en el cargo, condiciones de venta, datos de entrega y respuestas del vendedor. Conserva los archivos originales y una copia de trabajo; una captura ayuda, pero no hace falta fabricar un informe forense ni existe una lista legal cerrada de pruebas.
- No borres mensajes ni negocies desde el enlace del estafador. Si recibes una propuesta de devolución, guárdala y comunícala en la denuncia; su calificación depende de los hechos y no debe darse por supuesta.
Avisar durante las primeras horas puede facilitar la gestión bancaria y la conservación de datos, pero no existe una regla general de «24 horas» que determine por sí sola la denuncia, la recuperación o la condena.
2. Dónde presentar la denuncia
La denuncia puede hacerse por escrito o de palabra, personalmente o mediante mandatario con poder especial. Debe identificar a quien denuncia y narrar el hecho con las fuentes conocidas. La Ley de Enjuiciamiento Criminal no obliga a probarlo todo ni a formalizar una querella para poder denunciar: esa comprobación se realiza después. Una denuncia ordinaria no equivale a personarse como acusación particular ni exige, por ese solo hecho, procurador y abogado.
La Guardia Civil ofrece un canal telemático para categorías concretas, entre ellas estafas y cargos fraudulentos cometidos por medios informáticos. El artículo 266 excluye la vía telemática cuando hubo violencia o intimidación, el autor es conocido, existen testigos, quien denuncia es menor, el delito es flagrante o el hecho es violento o sexual. En esos casos, o si el canal no acepta el supuesto, acude presencialmente al cuerpo policial o autoridad competente y conserva el justificante.
La querella tiene requisitos distintos: como regla general, el artículo 277 exige procurador con poder bastante y firma de letrado. En el juicio por delito leve opera la regla específica del artículo 969; no conviertas la querella ordinaria en un requisito de la denuncia inicial.
3. ¿Es estafa o un problema de consumo?
El artículo 248 del Código Penal exige, entre otros elementos, ánimo de lucro, un engaño bastante que produzca error, un acto de disposición y perjuicio. Una tienda creada para engañar puede aportar indicios, pero su apariencia no decide por sí sola la calificación. Si había un empresario identificable y el problema es entrega, conformidad o devolución, también puede existir un incumplimiento contractual o de consumo.
El artículo 249 recoge modalidades específicas: manipulación o interferencia informática que produzca una transferencia no consentida y operaciones fraudulentas con tarjetas u otros instrumentos de pago. Que la interacción haya sido por internet no aumenta automáticamente la pena. El artículo 250 agrava solo cuando concurre una de sus circunstancias, como especial gravedad, valor superior a 50.000 euros, elevado número de personas, abuso de relaciones o las demás previstas en el propio precepto.
La cuantía puede influir en la pena y en la clasificación. El texto vigente del artículo 248, actualizado por la LO 1/2026 con efectos desde el 10 de abril de 2026, contiene además una regla específica de multirreincidencia. No es correcto convertir una cifra o una modalidad online en un diagnóstico penal automático.
4. Si el pago no lo autorizaste tú
El artículo 34 del RDL 19/2018 delimita el alcance: si el usuario no es consumidor ni microempresa, las partes pueden pactar que no se apliquen total o parcialmente, entre otros, los artículos 44 y 46; solo cuando el usuario no sea consumidor pueden pactar además no aplicar el artículo 49 o un plazo distinto del artículo 43. Revisa esa condición y el contrato antes de trasladar estas reglas a una empresa.
El RDL 19/2018 regula las operaciones de pago no autorizadas o ejecutadas incorrectamente:
- Aviso: comunica al proveedor sin demora injustificada y, como máximo, dentro de los 13 meses desde el adeudo. Ese límite no se aplica si el proveedor no te facilitó la información de la operación.
- Prueba: si niegas la autorización o alegas ejecución incorrecta, el proveedor debe acreditar autenticación, registro exacto, contabilización y ausencia de fallo técnico. El uso registrado del instrumento no basta por sí solo; si alega fraude o negligencia grave debe probarlo.
- Reembolso: para una operación no autorizada, el proveedor debe devolver el importe inmediatamente y, como máximo, al final del día hábil siguiente a la observación o notificación. Puede existir la excepción de motivos razonables de fraude comunicados por escrito al Banco de España, además de las reglas de responsabilidad del ordenante.
- Responsabilidad: el artículo 46 puede hacer soportar al ordenante hasta 50 euros cuando el instrumento se perdió, fue sustraído o apropiado, pero el ordenante no está obligado a soportar esas pérdidas si no pudo detectar la pérdida antes del pago —salvo fraude propio— o si la pérdida se debe a empleados, agentes, sucursal o entidad externalizada del proveedor. El fraude o el incumplimiento deliberado o por negligencia grave de las obligaciones del artículo 41 pueden trasladar todas las pérdidas. Hay una exención específica para operaciones no presenciales realizadas solo con los datos impresos en el instrumento, si no hubo fraude o negligencia grave en la custodia del instrumento y las credenciales y se avisó sin demora. Si el proveedor no exige autenticación reforzada, el ordenante solo soporta consecuencias económicas si actuó fraudulentamente; si el beneficiario o su proveedor no acepta esa autenticación, debe reembolsar el perjuicio financiero al proveedor del ordenante. Tras avisar, no hay consecuencia económica por usos posteriores salvo fraude; si el proveedor no ofrece medios adecuados para avisar en todo momento, tampoco hay responsabilidad por esos usos salvo fraude. No se puede resumir en «el banco siempre paga» ni en «usar una clave demuestra que autorizaste».
Presenta al banco el relato de cómo apareció el cargo y la prueba que conserves. La carga legal de prueba no elimina la necesidad de colaborar ni convierte una decisión provisional en resolución definitiva.
5. Si confirmaste el pago porque te engañaron
Introducir una clave, aprobar una notificación o ordenar una transferencia después de hablar con un falso soporte puede ser un dato de autenticación, pero no demuestra por sí solo que el ordenante prestara consentimiento. El artículo 36 considera autorizada la operación cuando existe consentimiento y el artículo 44 asigna la prueba; hay que distinguirla de una orden dada por un tercero sin autorización. Comunica igualmente el hecho de inmediato y aporta mensajes, teléfono, dominio, cuenta de destino y cronología.
Cuando, tras comprobar consentimiento y prueba, la compra se sitúa como autorizada, el Banco de España explica que las compras con tarjeta son, como regla de su guía, mandatos de pago irrevocables; la entidad puede gestionar diligentemente una reclamación ante el sistema de la tarjeta, pero eso no es un derecho legal universal de chargeback ni garantiza la devolución. En transferencias, el error imputable al ordenante y una operación no autorizada siguen recorridos diferentes. No uses un plazo de 120 días como si fuera una regla general ni confundas una norma de una marca con el RDL 19/2018.
6. Derechos de consumo cuando hay un contrato real
Si contrataste a distancia con un empresario identificable, el TRLGDCU exige información precontractual sobre identidad, dirección, precio, entrega y reclamaciones. El derecho de desistimiento es, como regla, de 14 días naturales, pero solo opera en contratos incluidos en su ámbito y está sujeto a las excepciones del artículo 103. El artículo 104 fija desde cuándo se cuenta y el 105 trata la omisión de información.
El reembolso del artículo 107, la ejecución del artículo 109 —30 días naturales salvo que las partes hayan acordado otra cosa— y las consecuencias de falta de ejecución del artículo 110 son reglas del contrato de consumo. La reforma del RDL 24/2021, artículo 82, modificó los apartados operativos del desistimiento y añadió reglas de contenidos digitales en el artículo 107; sus efectos temporales dependen de su disposición final décima. No convierten una web ficticia, un pago voluntario inducido por engaño o un activo digital en un desistimiento con devolución garantizada. Antes de invocarlas identifica al empresario, el tipo de bien o servicio, la fecha de entrega y la excepción aplicable.
7. Investigación y posible recuperación
El Código Penal permite exigir responsabilidad civil por el delito. El artículo 110 enumera restitución, reparación e indemnización material o moral; el artículo 115 exige que la resolución razone las bases de cuantificación. La acción civil puede ejercitarse con la penal y el artículo 109 permite optar por la jurisdicción civil, según el caso. La Ley de Enjuiciamiento Criminal informa a la persona perjudicada de su derecho a personarse y regula la acción civil del Ministerio Fiscal salvo renuncia expresa.
Estas reglas no garantizan identificar al autor, recuperar el dinero, cobrar de un condenado insolvente ni obtener una cantidad concreta. Un archivo penal no activa automáticamente un juicio mercantil o contencioso-administrativo y no crea un nuevo plazo universal: el cauce, la legitimación, la prescripción civil y la prueba dependen de la relación y de los responsables concretos.
8. Plazos que no debes mezclar
| Recorrido | Regla contrastada | Qué no significa |
|---|---|---|
| Pago no autorizado o incorrecto | Aviso sin demora y máximo de 13 meses desde el adeudo, con la excepción de información no facilitada. | No cubre automáticamente pagos autorizados ni fija un plazo civil o penal. |
| Prescripción penal | CP 131 establece bandas según la pena; CP 132 regula inicio e interrupción. La clasificación concreta importa. | No existe un plazo único de 4, 5 o 2 años para toda estafa online. |
| Desistimiento | 14 días naturales cuando existe un contrato a distancia incluido y no opera una excepción. | No es una devolución automática frente a una web ficticia o a cualquier fraude. |
| Reclamación bancaria | Primero SAC o defensor de la entidad; la página del Banco de España indica 15 días hábiles para servicios de pago, 1 mes para consumidores y 2 meses para no consumidores. | No son plazos de investigación penal ni garantizan una respuesta favorable. |
9. Si el banco rechaza tu reclamación
Pide una respuesta escrita que indique si la entidad considera la operación autorizada, qué prueba invoca y cómo calcula cualquier importe. Presenta la reclamación al servicio de atención al cliente o defensor del cliente. Si la rechazan, no contestan dentro del plazo aplicable o la respuesta no resuelve el problema, consulta el procedimiento del Banco de España, cuyo ámbito y requisitos de admisibilidad debes comprobar. Su informe es no vinculante, no sustituye automáticamente una sentencia ni determina por sí solo la responsabilidad penal del estafador.
10. Casos especiales
En un marketplace conserva el perfil, el anuncio, el usuario, la conversación, la cuenta de destino y las reglas de la plataforma; la responsabilidad del intermediario depende de sus funciones y de los hechos. En criptomonedas guarda la dirección de origen y destino, el identificador de transacción, la plataforma y el momento; el plazo bancario de 13 meses no se aplica automáticamente a cada activo o monedero. Si la persona afectada es menor o necesita apoyos, adapta la presentación a su representante o a los apoyos que correspondan y evita exponer públicamente sus datos.
Fuentes oficiales consultadas
La base legal enlazada al final identifica los preceptos y páginas institucionales realmente revisados. Las cifras, rutas y ejemplos de este texto no sustituyen la comprobación del expediente concreto.
Base legal comprobada y alcance
Revisión editorial del 7 de octubre de 2026. En el Código Penal consolidado se leyeron los arts. 13, 109, 110, 115, 131, 132, 248, 249, 250 y 251; de la publicación original de 1995 se leyeron únicamente los arts. 131, 132 y 248–250. Se contrastaron además las unidades originales de la LO 1/2015 (reformas seleccionadas de los arts. 131, 132, 249 y 250), de la LO 14/2022 sobre arts. 248–249 y de la LO 1/2026 sobre arts. 248 y 250.1.8. La reforma de 2026 se publicó el 9 de abril y sus unidades seleccionadas entran en vigor el 10 de abril de 2026; no se afirma lectura íntegra de ninguna de esas leyes.
En la Ley de Enjuiciamiento Criminal vigente se leyeron los arts. 108–110, 115, 259, 264–267, 270, 277, 281 y 969. El art. 266 se contrastó con la LO 1/2025 y con los arts. 265–266 de la publicación original del RDL 6/2023. La página BOE con cabecera «TEXTO ORIGINAL» se conserva como referencia histórica, pero su HTML puede contener redacciones e instituciones posteriores y no se presenta aquí como una transcripción literal de 1882. La comprobación histórica acotada se hizo en el escaneo oficial de la Gaceta de Madrid de 1882: pp. 13 (arts. 100, 108–110 y 115) y 23–24 (arts. 259–269 y art. 277, apartados 1–7). Es una selección histórica; las reglas actuales de esta guía se basan en el texto consolidado y las reformas enlazadas.
Se leyeron en el texto consolidado los arts. 34, 36 y 41–49 del RDL 19/2018, incluidos aviso de 13 meses, carga de prueba, fraude o negligencia grave, reembolso de operación no autorizada, responsabilidad del ordenante y reglas específicas de operaciones autorizadas iniciadas por beneficiario. En la publicación original de 2018 se leyeron los arts. 43–48 para contrastar esos bloques históricos.
Se leyeron unidades materiales de reformas de consumo: Ley 3/2014 (arts. 97, 102–105, 107, 109 y 110), RDL 9/2017 (disposición final primera, apartados Uno y Dos, y entrada en vigor), su corrección, RDL 24/2021 (artículo 82, apartados Doce a Dieciséis, y disposición final décima), y RDL 7/2021 (artículo decimosexto, introducción y unidades seleccionadas sobre los arts. 66 bis y 59.4, y disposición final octava). No se atribuye lectura íntegra de esas reformas; se usaron solo las unidades enumeradas.
Para consumo se revisaron en el TRLGDCU vigente los arts. 4, 62, 97, 102–105, 107, 109 y 110, y las unidades correspondientes de la publicación original de 2007 (texto original). El desistimiento y el reembolso se describen solo para contratos a distancia incluidos y con sus excepciones; no se usan para prometer devolución ante una web ficticia.
Se contrastaron páginas institucionales actuales de la Guardia Civil sobre denuncia electrónica, y del Banco de España sobre cargos de tarjeta no autorizados, transferencias no autorizadas, compras autorizadas no entregadas y reclamaciones bancarias. Son guías institucionales; las obligaciones jurídicas principales se anclan en el RDL 19/2018.
No se han usado como soporte validado jurisprudencia, estadísticas CGPJ, Circular 5/2017, normas de marcas de tarjetas, una tarifa o plazo de recuperación, ni una promesa de asistencia humana. No se afirma lectura íntegra de los actos citados ni revisión por abogado.
Información orientativa: la calificación, el plazo aplicable y la recuperación dependen de los hechos, la autorización del pago, la prueba, el contrato, la solvencia y la autoridad competente.