Autenticación reforzada (SCA): por qué el banco debe devolverte el cargo

Si te han cargado un pago con tarjeta o una transferencia y el banco no te pidió el segundo factor de verificación (código SMS, notificación push o huella), tienes derecho a que te devuelva el dinero. No es un favor del banco: es una obligación que viene de la normativa europea de servicios de pago (PSD2), traspuesta en España. Vamos a explicarte qué es la SCA, cuándo se salta y cómo usarla para ganar tu reclamación.

Qué es la SCA y a quién afecta

SCA son las siglas de Strong Customer Authentication, autenticación reforzada del cliente. Desde que la directiva europea PSD2 se aplicó de forma efectiva en pagos con tarjeta en España (el grueso de la migración se completó entre 2021 y 2022, tras varias prórrogas concedidas por el Banco de España y la Autoridad Bancaria Europea), cualquier pago electrónico iniciado por el propio usuario debe verificarse con al menos dos de estos tres factores:

• Conocimiento: algo que sabes, como un PIN o una contraseña.
• Posesión: algo que tienes, como tu móvil (para recibir un código o aprobar en la app del banco).
• Inherencia: algo que eres, como tu huella dactilar o el reconocimiento facial.

Te afecta si has comprado online con tarjeta, has hecho una transferencia desde la app del banco, has dado de alta una domiciliación nueva o has usado Bizum para un envío no habitual. También afecta a compras presenciales sin contacto por encima de ciertos importes acumulados, aunque el foco de las reclamaciones está casi siempre en pagos online y transferencias.

La clave para tu reclamación: si el pago no llevó ese doble factor y tú no diste tu consentimiento explícito, el banco es responsable del cargo, no tú.

Cuándo se salta la SCA (y qué es legal, qué no)

No toda ausencia de doble factor es irregular. Hay exenciones reguladas que los bancos pueden aplicar sin pedirte verificación adicional:

Si tu caso no encaja en ninguna de las casillas "sí", y el pago se ejecutó igualmente, ahí está tu argumento legal. Y ojo: aunque el banco haya aplicado una exención de las de la tabla, si tú no reconoces la operación y no diste tu consentimiento, sigue siendo una operación no autorizada y aplica el mismo derecho a devolución que recoge la normativa de servicios de pago.

Paso a paso para reclamar

1. Revisa el movimiento en la app o extracto. Anota fecha, hora, importe, comercio o beneficiario.
2. Comprueba si recibiste algún código, notificación push o petición de huella en el momento del cargo. Si no la recibiste, o la recibiste pero no la aprobaste tú, es tu prueba principal.
3. Notifica el cargo al banco sin demora, en cuanto lo detectes. La normativa exige comunicarlo cuanto antes; cuanto más tardes, más fácil es que el banco alegue negligencia por tu parte.
4. Pide por escrito, no solo por teléfono, que conste la reclamación (email, formulario de la app o carta al Servicio de Atención al Cliente). Guarda el número de reclamación o el acuse de recibo.
5. Exige el reembolso inmediato. El banco debe devolver el importe a más tardar el día hábil siguiente a que reclames, salvo que tenga motivos razonables para sospechar fraude tuyo, en cuyo caso puede investigar antes.
6. Si el banco lo deniega, pide la resolución motivada por escrito. Tienen que explicarte por qué consideran que fue negligencia grave tuya.
7. Si no responden en dos meses o la respuesta no te convence, acude al Servicio de Atención al Cliente o Defensor del Cliente de la propia entidad y, después, al Banco de España mediante su servicio de reclamaciones.

Cuánto tarda y cuánto cuesta reclamar

Reclamar no tiene coste para ti. Ni la reclamación interna en el banco ni la reclamación posterior ante el Banco de España tienen tasas.

Ejemplo: Marta recibe un cargo de 640 € en su tarjeta por una compra en una tienda online que no reconoce. Revisa su app del banco: no le llegó ningún SMS ni notificación push para confirmar el pago. Llama al banco el mismo día, pide anular la tarjeta y abre reclamación por escrito a través de la app. El banco le da un número de expediente y, al día siguiente hábil, le abona los 640 € de forma provisional mientras investiga. Dos semanas después, el banco confirma que el comercio no solicitó SCA y que Marta no tiene ninguna app de control remoto ni compartió códigos con nadie: el reembolso se confirma como definitivo.

Qué pasa si no reclamas o lo haces tarde

Si dejas pasar el cargo sin comunicarlo, el banco puede alegar que no actuaste con la diligencia exigida, y eso juega en tu contra. Además, cuanto más tiempo pase, más difícil es rastrear el origen del fraude (el comercio puede haber cerrado, el dinero puede haber salido del circuito bancario). No hay un plazo único y universal para todo tipo de reclamación de cargos no autorizados: cuanto antes actúes, mejor blindas tu posición. Si tienes dudas sobre plazos exactos para tu caso, contrástalo con el Servicio de Atención al Cliente de tu banco o con el Banco de España.

Errores habituales al reclamar

• Reclamar solo por teléfono, sin dejar constancia escrita. Sin registro, no tienes forma de acreditar cuándo avisaste.
• No pedir explícitamente la referencia a la SCA. Muchos bancos, si no mencionas que el pago no llevó autenticación reforzada, se limitan a decir "operación correcta" sin entrar en el detalle técnico. Pide expresamente que te confirmen si hubo verificación de dos factores y en qué consistió.
• Aceptar un "no" verbal sin pedir la resolución motivada por escrito. Tienes derecho a que te lo justifiquen documentalmente, y ese documento es clave si luego acudes al Banco de España.
• Confundir negligencia grave con negligencia leve. No guardar el PIN apuntado junto a la tarjeta es negligencia grave; que te engañen con un SMS muy bien hecho de phishing normalmente no lo es, salvo que hayas repetido códigos de operación real bajo presión, sin ninguna cautela. Cada caso se valora de forma individual.
• No conservar capturas de pantalla de la app o del historial de notificaciones antes de que se borren o caduquen.

Cuándo conviene ayuda de un profesional

Si el banco te deniega el reembolso alegando negligencia grave y tú consideras que no la hubo, y el importe es relevante (varios cientos o miles de euros), tiene sentido:

• Presentar reclamación formal ante el Banco de España (servicio de reclamaciones, gratuito).
• Consultar con un abogado especializado en derecho bancario si el Banco de España resuelve en tu contra o si el banco no cumple una resolución favorable, ya que sus informes no son vinculantes para la entidad, aunque sí tienen peso en un juicio posterior.
• Valorar la vía judicial cuando el importe compensa el coste de un procedimiento, algo que un abogado puede ayudarte a calcular con más precisión que una calculadora online.

Nuestra recomendación: no aceptes un "no" del banco a la primera. La ausencia de autenticación reforzada es un argumento técnico y objetivo, no una opinión, así que exige siempre que te digan por escrito si hubo o no SCA en la operación. En nuestra experiencia revisando casos de lectores de Vurnix, cuando el usuario pide ese dato de forma explícita y documentada, buena parte de los bancos rectifican antes de llegar al Banco de España, porque saben que la normativa juega en tu contra... o mejor dicho, a tu favor.