En resumen: Tras un ciberataque a un supermercado como Marks & Spencer o Carrefour, el banco emisor de tu tarjeta es el primer responsable legal de devolverte el dinero por cargos fraudulentos. Según la normativa PSD2 vigente en la Unión Europea, el plazo máximo de reembolso es de 15 días hábiles desde que presentas la reclamación. El comercio también puede ser corresponsable si se demuestra negligencia en la protección de tus datos de pago.
Hackeos a cadenas como Marks & Spencer o Carrefour exponen datos bancarios. Aquí quién responde y qué pasos dar.
Qué es un ciberataque a un supermercado y por qué te afecta directamente
Recuperar tu dinero tras un ciberataque a un supermercado es posible, y la ley está de tu lado. Un ciberataque a una cadena de supermercados es una intrusión en sus sistemas informáticos que puede exponer los datos de pago de miles de clientes: números de tarjeta, fechas de vencimiento y, en los casos más graves, los códigos de seguridad almacenados de forma indebida.
El problema no es solo que roben información. Es que esos datos se venden en mercados ilegales en cuestión de horas y los cargos fraudulentos aparecen antes de que tú te enteres de que hubo un hackeo.
Cadenas con presencia masiva en el mundo hispanohablante como Carrefour han sufrido incidentes de seguridad que afectaron a clientes en varios países simultáneamente. El ataque a Marks & Spencer en abril de 2025 —que obligó a la empresa a suspender temporalmente su sistema de pagos y pedidos online— es el ejemplo más reciente y más comentado en redes.
Cómo reclamar tu dinero paso a paso
El primer paso siempre es contactar con tu banco, no con el supermercado. Es el camino más rápido, tiene respaldo legal claro y no depende de que la empresa afectada reconozca el hackeo.
- Revisa tus movimientos bancarios ahora mismo. Entra en la app de tu banco y filtra los últimos 30 días. Cualquier cargo que no reconozcas, aunque sea pequeño, puede ser una prueba de acceso a tu cuenta. Los estafadores suelen hacer primero una compra pequeña para verificar que la tarjeta funciona.
- Bloquea o congela la tarjeta afectada. La mayoría de las apps bancarias permiten hacerlo en segundos desde el móvil. No esperes a llamar al banco: bloquea primero, llama después.
- Presenta la reclamación formal al banco. Hazlo por escrito —por la app, por correo electrónico o en sucursal— y pide acuse de recibo. Indica la fecha del cargo, el importe y que no autorizaste esa operación. Bajo la normativa PSD2, el banco debe reembolsarte en un máximo de 15 días hábiles.
- Guarda toda la comunicación. Capturas de pantalla, correos, número de expediente. Si el banco tarda o deniega sin justificación, necesitarás ese rastro para escalar la reclamación.
- Si el banco no resuelve, acude al supervisor. En España, puedes presentar una reclamación ante el Banco de España. En México, la CONDUSEF gestiona disputas entre usuarios y entidades financieras; el plazo para reclamar allí es de 90 días naturales desde la fecha del cargo según sus propias directrices.
- Denuncia el hackeo de tus datos ante la autoridad de protección de datos. En España, la Agencia Española de Protección de Datos (AEPD) recibe denuncias de ciudadanos cuando una empresa no les ha notificado una brecha que afecta a sus datos personales. En México, el organismo equivalente es el INAI.
Errores frecuentes al reclamar y cómo evitarlos
- Esperar a que el supermercado te avise. Las empresas tienen obligación legal de notificar brechas de seguridad en un plazo máximo de 72 horas a las autoridades, pero muchas retrasan la comunicación pública. No esperes: actúa desde el momento en que detectes algo raro.
- Reclamar solo verbalmente por teléfono. Una llamada no deja rastro oficial. Siempre pon la reclamación por escrito y pide un número de expediente. Sin ese número, el banco puede no tener constancia del plazo legal que empieza a correr.
- Asumir que el cargo pequeño no importa. Un cargo de 1 o 2 euros es casi siempre una prueba. Si no lo reportas, días después puede aparecer uno mucho mayor con la misma tarjeta comprometida.
- Pensar que el plazo para reclamar es indefinido. En la Unión Europea tienes 13 meses desde la fecha del cargo para notificarlo al banco y pedir reembolso. Pasado ese tiempo, la normativa PSD2 ya no te protege de la misma forma.
Lo que necesitas saber antes de empezar
La normativa PSD2 aplica a todos los bancos operando en la Unión Europea, pero su transposición exacta puede variar según el país. En España, esta directiva se incorporó al ordenamiento nacional a través de la Ley 7/2020. Eso significa que los plazos y derechos son exigibles ante cualquier banco con licencia en territorio español.
Fuera de la UE, el marco cambia. En México, según la CONDUSEF, tienes 90 días naturales para reclamar cargos no reconocidos en tarjetas de débito o crédito. En Argentina y Colombia, las normativas del banco central de cada país establecen plazos similares, aunque conviene verificarlo con tu entidad directamente.
Hay un detalle que muy poca gente comprueba: si tienes la tarjeta guardada en la web del supermercado y este sufre un hackeo, esa empresa tiene la obligación legal de proteger esos datos con estándares de seguridad específicos —el llamado estándar PCI DSS— y de notificarte si los datos quedan expuestos. Si no lo hace, tienes base para reclamarle directamente a ella, por vía civil o ante la autoridad de protección de datos.
Lo más útil que puedes hacer hoy, sin esperar a que ocurra nada: activa las notificaciones en tiempo real de tu app bancaria para cada movimiento con tu tarjeta. Es la única forma de detectar un cargo fraudulento antes de que se multiplique.
Preguntas frecuentes sobre recuperar dinero tras un ciberataque a un supermercado
¿Me devuelve el banco el dinero si me roban datos en un hackeo a un supermercado?
Sí. Bajo la normativa PSD2, el banco debe reembolsarte los cargos no autorizados en un máximo de 15 días hábiles desde que presentas la reclamación formal, salvo que puedan demostrar que actuaste con negligencia grave —por ejemplo, compartiste tu PIN voluntariamente.
¿A quién le reclamo primero: al banco o al supermercado?
Primero al banco: es el camino más rápido y con más respaldo legal. La reclamación al supermercado por daños adicionales —como robo de identidad o uso de tus datos en otras plataformas— va por vía civil o ante la autoridad de protección de datos de tu país.
¿Cuánto tiempo tengo para reclamar un cargo fraudulento a mi banco?
En España y la UE tienes 13 meses desde la fecha del cargo para notificarlo al banco y solicitar el reembolso. En México, según la CONDUSEF, el plazo es de 90 días naturales desde que se realizó el cargo no reconocido.
¿Qué hago si el supermercado hackeado tenía guardada mi tarjeta y no me avisan?
Puedes denunciarlo ante la autoridad de protección de datos de tu país. La AEPD en España y el INAI en México reciben estas denuncias, porque las empresas tienen obligación legal de notificar brechas que afecten a datos personales en un plazo máximo de 72 horas desde que las detectan.
Sigue leyendo
