En resumen: Desde 2026, la directiva europea PSD3 obliga a los bancos a reembolsar a clientes víctimas de ciberestafas en un plazo máximo de 10 días hábiles, salvo que demuestren negligencia grave del usuario. Por primera vez, la protección incluye el fraude por ingeniería social: phishing, vishing y smishing.
La UE cambia las reglas del juego: los bancos tendrán que devolverte el dinero casi siempre. Aquí qué cubre la ley y qué no.
Qué es PSD3 y para qué sirve
PSD3 (Payment Services Directive 3) es la nueva directiva europea de servicios de pago que transfiere la carga de la prueba del fraude bancario al banco, no al cliente. Hasta ahora, si te estafaban y habías «autorizado» la transferencia —aunque fuera engañado—, el banco podía lavarse las manos. Con PSD3, eso se acaba.
La directiva actualiza y reemplaza a la anterior PSD2, que ya obligaba a los bancos a mejorar la autenticación, pero dejaba un agujero enorme: el fraude por ingeniería social. Cualquier estafa donde el atacante te manipula para que tú mismo hagas la transferencia —haciéndose pasar por tu banco, por Hacienda, por un familiar en apuros— quedaba fuera de la protección efectiva.
La Unión Europea estima que el fraude de pagos en la eurozona supera los 4.300 millones de euros anuales, según datos de la Autoridad Bancaria Europea (EBA). Una cifra que lleva años creciendo, y que la PSD2 no consiguió frenar.
Cómo reclamar una ciberestafa bancaria en 2026 paso a paso
Si te estafan, el tiempo que tardes en actuar marca la diferencia entre recuperar el dinero o no. El proceso tiene un orden concreto que no conviene saltarse.
- Denuncia ante la Policía o Guardia Civil en menos de 24 horas. Guarda el número de denuncia: el banco te lo pedirá. Sin denuncia, cualquier reclamación se complica.
- Notifica el fraude a tu banco por escrito de forma inmediata. Llama, pero además envía un correo o usa el chat oficial para dejar constancia escrita con hora y fecha.
- Reúne todas las pruebas disponibles: capturas de pantalla de mensajes, correos recibidos, registros de llamadas, capturas de la web falsa si la hay. Cualquier rastro cuenta.
- Solicita el reembolso formalmente por escrito. Haz referencia explícita a la directiva PSD3. Los bancos responden de forma diferente cuando el cliente sabe de qué habla.
- Si el banco rechaza o no responde en 10 días hábiles, presenta una reclamación ante el Banco de España (en España) o el organismo regulador equivalente en tu país. La EBA coordina estos mecanismos a nivel europeo.
- Como último recurso, acude a la vía judicial o a organizaciones de consumidores como la OCU en España o Profeco en México, que pueden asesorarte sin coste o con coste reducido.
El plazo de 10 días hábiles es el máximo que la normativa le da al banco para reembolsarte. En casos complejos, puede extenderse a 35 días hábiles con justificación, según el texto de la directiva en tramitación. Verificar el texto legislativo final con tu regulador local es el paso más prudente antes de asumir plazos.
Errores frecuentes al reclamar y cómo evitarlos
El mayor error es esperar demasiado. Muchos usuarios tardan días en darse cuenta del fraude, y más aún en actuar. Cada hora que pasa hace más difícil rastrear y recuperar el dinero.
- No hacer la denuncia policial. Sin ese papel, la reclamación al banco tiene mucho menos peso legal. Es el primer paso, no un trámite opcional.
- Dar demasiada información al banco por teléfono sin dejar rastro escrito. Siempre confirma por escrito lo que hayas comunicado de viva voz. El banco grabará la llamada; tú también necesitas tu registro.
- Asumir que «como yo hice la transferencia, no hay nada que hacer». Eso era verdad antes de PSD3. La nueva normativa cubre expresamente el fraude por ingeniería social, donde el usuario es manipulado para autorizar el pago.
- No guardar las pruebas del engaño. El SMS falso de tu banco, el correo de «Hacienda», la llamada del falso soporte técnico: todo eso es evidencia. Haz capturas antes de borrar nada.
Otro error habitual: confundir «negligencia grave» con «haber caído en un engaño». Que te hayan engañado no es, por definición, negligencia grave. La negligencia grave sería, por ejemplo, compartir tu contraseña voluntariamente con un desconocido sin ninguna presión externa. El umbral que fija PSD3 es alto, y está pensado para proteger al usuario, no al banco.
Lo que necesitas saber antes de que llegue 2026
PSD3 no está en vigor todavía. Los estados miembros de la UE tienen hasta finales de 2026 para transponerla a su legislación nacional. Eso significa que cada país aprobará su propia ley adaptando la directiva, y los plazos y detalles pueden variar ligeramente.
España deberá modificar su normativa de servicios de pago para alinearse con PSD3. Mientras tanto, ya existe cierta protección bajo PSD2 para transferencias no autorizadas, aunque con menos alcance.
¿Qué pasa si vives fuera de la UE? México, Argentina, Colombia o Chile no están obligados por esta directiva. Sin embargo, varios países latinoamericanos están desarrollando marcos regulatorios propios. En México, la Comisión Nacional Bancaria y de Valores (CNBV) y la CONDUSEF gestionan las reclamaciones de fraude bancario, con plazos y coberturas distintos. Revisar la normativa local sigue siendo el camino.
Algo que merece atención: PSD3 también refuerza la autenticación fuerte del cliente y obliga a los bancos a verificar que el número de cuenta y el nombre del destinatario coinciden antes de ejecutar una transferencia. Esa medida sola podría haber evitado una parte significativa del fraude registrado en Europa durante 2023 y 2024.
Nuestra lectura: este cambio normativo es uno de los más relevantes para el consumidor digital en la última década. No porque los bancos vayan a volverse generosos por voluntad propia, sino porque por primera vez tienen un incentivo económico real para mejorar su seguridad. Si pagar las estafas sale de su bolsillo, invertir en prevenirlas pasa a ser negocio.
—
Preguntas frecuentes sobre ciberestafa bancaria y quién paga en 2026
¿Si me hackean la cuenta bancaria, el banco me devuelve el dinero?
Con la nueva directiva PSD3 de la Unión Europea, sí en la mayoría de los casos. El banco tiene hasta 10 días hábiles para reembolsarte, salvo que demuestre que actuaste con negligencia grave. La carga de la prueba recae sobre el banco, no sobre el cliente.
¿Qué es PSD3 y cuándo entra en vigor?
PSD3 es la tercera directiva europea de servicios de pago, diseñada para reforzar la protección del consumidor frente a fraudes digitales. Los países miembros de la UE deben transponerla a su legislación nacional antes de finales de 2026. Hasta entonces, la normativa vigente sigue siendo PSD2.
¿El banco me paga si caí en un phishing o alguien me llamó haciéndose pasar por el banco?
Sí. Por primera vez, PSD3 cubre expresamente el fraude por ingeniería social: phishing (correo), vishing (llamada) y smishing (SMS). Antes, los bancos argumentaban que el cliente había «autorizado» la operación. Con la nueva directiva, ese argumento deja de ser suficiente para negar el reembolso.
¿Qué tengo que hacer si me estafan para que el banco me devuelva el dinero?
Tres pasos inmediatos: denuncia ante la Policía en menos de 24 horas, notifica el fraude a tu banco por escrito en el mismo momento, y conserva todas las pruebas (capturas, correos, registros de llamadas). Luego solicita el reembolso formalmente mencionando la directiva PSD3.
Sigue leyendo
