Nuevo tipo de estafa informática “spoofing Caller ID”: la estafa que suplanta el número del banco. ¿Cuándo responde en banco por el dinero estafado?
¿Qué es la estafa “Spoofing Caller ID”?
En los últimos años, las estafas bancarias han evolucionado con técnicas cada vez más sofisticadas. Una de las más peligrosas y difíciles de detectar es el “spoofing Caller ID”, una modalidad en la que los delincuentes logran suplantar el número de teléfono oficial del banco y el remitente de sus mensajes SMS, de manera que la víctima cree estar comunicándose realmente con su entidad financiera.
El método combina dos fases:
-
Primero, la víctima recibe un SMS que parece provenir del propio banco —por ejemplo, “Cajamar”— advirtiéndole de un supuesto problema de seguridad y pidiéndole que active un nuevo sistema mediante un enlace. Al acceder a dicho enlace, la persona entra en una página web idéntica a la oficial del banco, pero que en realidad es una copia fraudulenta.
-
Después, recibe una llamada desde el número real del banco, que ha sido falsificado mediante técnicas informáticas. En esa llamada, un supuesto empleado le alerta de movimientos sospechosos y le insta a realizar acciones “para proteger su dinero”.
Siguiendo estas indicaciones, muchas víctimas abren nuevas cuentas o realizan transferencias a supuestas “cuentas seguras”, creyendo que están protegiendo sus fondos, cuando en realidad los están enviando a los estafadores.
Un caso claro es el de una clienta de Cajamar, que el 27 de noviembre de 2024 recibió un SMS con remitente “CAJAMAR” y una llamada desde el número coincidente con el teléfono real de la entidad. Confiando en la autenticidad del aviso, accedió al enlace y siguió las instrucciones de quien creía ser un empleado del banco. Abrió dos nuevas cuentas y realizó varias transferencias y traspasos desde sus cuentas habituales, hacia las nuevas.
En cuestión de minutos, los fondos fueron desviados a terceros y desaparecieron, con una pérdida total de 11.688 €.
Este tipo de fraude se basa en engañar a la víctima utilizando la apariencia de legitimidad del propio banco, lo que hace casi imposible que un usuario medio pueda distinguir si la comunicación es real o no.
¿Cuándo responde el banco por el dinero estafado?
La normativa española y europea sobre servicios de pago (Real Decreto-ley 19/2018 y Directiva PSD2) establece un régimen de responsabilidad cuasi objetiva para las entidades financieras.
Esto significa que, cuando un cliente sufre una operación no autorizada, el banco debe devolver el dinero inmediatamente, salvo que pueda probar que el usuario actuó con negligencia grave o dolo.
En los casos de spoofing Caller ID, los tribunales han sido claros:
-
No puede hablarse de negligencia grave cuando el cliente recibe un mensaje y una llamada que parecen proceder de su propio banco, ya que resulta imposible detectar el fraude.
-
La entidad bancaria tiene la obligación de implantar medidas de seguridad y sistemas de detección de operaciones anómalas, bloqueando aquellas que sean inusuales o contrarias a la operativa habitual del cliente.
Así lo declaró la Audiencia Provincial de Asturias (Sentencia nº 543/2024, de 4 de diciembre), al afirmar que el banco no demostró negligencia alguna por parte de la víctima y que todo apuntaba a un déficit del sistema de seguridad de la propia entidad.
En esa misma línea, la Audiencia Provincial de Cádiz (Sentencia nº 24/2025, de 31 de enero) consideró que transferencias inmediatas por importes elevados, realizadas de forma concentrada y completamente distintas a la operativa habitual del cliente, debieron activar las alertas del banco, cuya falta de reacción revelaba un fallo de control.
También la Audiencia Provincial de Cáceres (Sentencia nº 555/2023, de 18 de diciembre) concluyó que el banco no puede eximirse de responsabilidad alegando haber emitido simples avisos genéricos en su página web. La entidad que ofrece un servicio de banca online segura debe garantizar efectivamente esa seguridad, y no basta con advertencias formales o cláusulas predispuestas.
En consecuencia, cuando el banco no bloquea las operaciones sospechosas pese a existir indicios claros —transferencias inmediatas, importes elevados, o movimientos inusuales respecto al comportamiento habitual del cliente—, responde civilmente del perjuicio sufrido por el usuario.
En resumen
El spoofing Caller ID demuestra que el eslabón más débil no es el usuario, sino la falta de control de las entidades ante fraudes cada vez más sofisticados.
Los clientes actúan de buena fe, engañados por comunicaciones que replican fielmente la identidad de su banco, mientras que las entidades financieras tienen los medios técnicos y la obligación legal de detectar esas anomalías.
Por ello, si has sido víctima de una estafa similar o de cualquier otro tipo de fraude bancario, ponte en contacto con nosotros. En Castillo-Ridao Abogados analizaremos tu caso, te ayudaremos a reclamar el dinero perdido y a exigir la responsabilidad que corresponde al banco.
