Phishing o estafas bancarias: ¿Quién debe responder por la pérdida de tu dinero?
Las estafas mediante phishing se han convertido en una de las principales causas de fraude bancario en España. Correos electrónicos que aparentan proceder de la entidad financiera, mensajes SMS que informan de un supuesto bloqueo de la cuenta, llamadas telefónicas en las que los delincuentes se hacen pasar por empleados del banco o aplicaciones fraudulentas que permiten obtener las credenciales de acceso, son algunas de las técnicas más habituales utilizadas para conseguir que el cliente autorice, sin saberlo, operaciones de pago o facilite sus claves de banca electrónica.
Hasta hace relativamente poco, era habitual que las entidades financieras rechazaran cualquier reclamación alegando que la operación había sido correctamente autenticada mediante las claves personales del cliente. Sin embargo, la normativa sobre servicios de pago y, especialmente, la reciente jurisprudencia del Tribunal Supremo han modificado de forma sustancial este planteamiento.
¿Qué ha cambiado en la responsabilidad de las entidades financieras?
Hoy la cuestión ya no consiste únicamente en determinar si el cliente introdujo sus claves o si la transferencia fue autenticada mediante un sistema de doble verificación. Lo verdaderamente relevante es determinar si la entidad financiera cumplió con las obligaciones de diligencia que le impone la normativa y si adoptó las medidas de seguridad necesarias para evitar que una operación claramente anómala llegara a ejecutarse.
La Sentencia del Tribunal Supremo 571/2025: el punto de inflexión
En este sentido, la Sentencia del Tribunal Supremo (Sala Primera de lo Civil) núm. 571/2025, de 9 de abril (Rec. 1151/2023) supone un importante punto de inflexión. La resolución recuerda que, cuando un usuario niega haber autorizado una operación de pago o sostiene que ésta fue ejecutada de forma incorrecta, corresponde al proveedor de servicios de pago acreditar que la operación fue autenticada, registrada con exactitud y contabilizada correctamente, pero también que «no se vio afectada por un fallo técnico u otra deficiencia del servicio, sin que el simple registro de la operación baste para demostrar que fue autorizada ni que el usuario ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave».
La trascendencia de esta sentencia radica en que el Tribunal Supremo amplía el concepto de «deficiencia del servicio», afirmando que comprende cualquier falta de diligencia o mala praxis en la prestación de los servicios de pago. En consecuencia, ya no basta con que el banco acredite que la transferencia se realizó utilizando las credenciales del cliente, sino que debe demostrar que sus sistemas de seguridad funcionaron correctamente y que adoptó todas aquellas medidas razonablemente exigibles para detectar una operación potencialmente fraudulenta.
Las buenas prácticas que exige la sentencia
La propia sentencia identifica cuáles son esas buenas prácticas. Entre ellas destaca la implantación de sistemas automáticos capaces de detectar operaciones inusuales atendiendo a factores como la reiteración de transferencias realizadas en un corto espacio de tiempo, el importe de las operaciones, el horario en que se ejecutan, la identidad de los destinatarios o el historial de movimientos de la cuenta. Del mismo modo, exige reforzar los mecanismos de vigilancia cuando existan alertas sobre un incremento del riesgo de ataques de phishing.
Especialmente relevante resulta, además, que el Tribunal Supremo rechaza expresamente que el mero registro informático de la utilización del instrumento de pago sea suficiente para acreditar que la operación fue autorizada por el cliente. En palabras de la propia resolución:
«El mero hecho del registro por el proveedor de la utilización del instrumento de pago no bastará, necesariamente, para demostrar que la operación de pago fue autorizada por el ordenante, ni que éste ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave una o varias de sus obligaciones, correspondiendo al proveedor la prueba de que el usuario del servicio de pago cometió fraude o negligencia grave».
La Audiencia Provincial de Cantabria y la carga de la prueba
Esta sentencia del Supremo no constituye un criterio aislado, sino la culminación de una línea jurisprudencial que ya venían perfilando diversas Audiencias Provinciales. Así, la Sentencia de la Audiencia Provincial de Cantabria núm. 679/2022, de 19 de septiembre, declaró que la entidad financiera no puede invertir la carga de la prueba limitándose a afirmar que las operaciones fueron autenticadas y registradas, pues corresponde al banco acreditar la falta de diligencia del usuario «sin apelar a meras conjeturas, no demostradas».
La Audiencia Provincial de Salamanca y la apertura de cuentas con DNI falso
En la misma línea, la Sentencia de la Audiencia Provincial de Salamanca núm. 311/2024, de 10 de junio (Rec. 466/2023) atribuyó la responsabilidad a la entidad bancaria al considerar que el fraude tuvo su origen en la propia apertura de una cuenta mediante una identidad falsificada. La Audiencia Provincial entendió que una mínima comprobación del nombre y del DNI habría permitido detectar la suplantación de identidad, incumpliéndose las obligaciones de control impuestas por la Ley 10/2010, de prevención del blanqueo de capitales y de la financiación del terrorismo, circunstancia que resultó determinante para la comisión de la estafa.
El fraude del CEO: el caso de la Audiencia Provincial de Madrid
La jurisprudencia también ha abordado el denominado fraude del CEO, una modalidad de estafa especialmente frecuente en el ámbito empresarial. La Sentencia de la Audiencia Provincial de Madrid (Sección 11.ª) núm. 74/2022, de 28 de febrero (Rec. 35/2021) analizó un supuesto en el que una administrativa ordenó una transferencia internacional tras ser engañada mediante un correo electrónico que aparentaba proceder de la dirección de la empresa. La Audiencia Provincial concluyó que la entidad bancaria incumplió los protocolos de verificación previamente pactados con el cliente y no reaccionó pese a concurrir múltiples indicadores objetivos de que se trataba de una operación extraordinaria, como el importe de la transferencia, el destino internacional, la intervención de una persona no autorizada y el incumplimiento del procedimiento habitual de autorización. En estos casos, dada la complejidad de la reclamación frente al banco, conviene contar con un abogado mercantil que valore la vía más adecuada.
Otros precedentes sobre el fraude del CEO
Esta línea jurisprudencial encuentra, además, sólidos precedentes en resoluciones como la Sentencia de la Audiencia Provincial de Madrid (Sección 14.ª) núm. 386/2017, de 21 de diciembre (Rec. 498/2017), la Sentencia de la Audiencia Provincial de Alicante (Sección 8.ª) núm. 107/2018, de 12 de marzo (Rec. 622/2017), la Sentencia de la Audiencia Provincial de Madrid (Sección 9.ª) núm. 178/2015, de 4 de mayo, o la Sentencia de la Audiencia Provincial de Zaragoza, de 14 de mayo de 2013, todas ellas coincidentes en afirmar que la responsabilidad de las entidades prestadoras de servicios de pago presenta un carácter cuasi objetivo y que corresponde al banco acreditar tanto la seguridad de sus sistemas como la existencia de una actuación fraudulenta o de una negligencia grave por parte del cliente.
En definitiva
En definitiva, la tendencia jurisprudencial resulta hoy clara. Salvo que la entidad financiera consiga demostrar que el usuario actuó fraudulentamente o incurrió en una negligencia grave, será el banco quien deba asumir las consecuencias económicas de las operaciones de pago no autorizadas, especialmente cuando no pueda acreditar que adoptó todas las medidas de seguridad y control exigibles para prevenir un fraude que, en muchas ocasiones, habría podido ser detectado antes de que el dinero abandonara la cuenta del cliente. Si has sido víctima de esta situación, ponerte en manos de un abogado de phishing bancario te ayudará a valorar si la entidad ha cumplido realmente con estas obligaciones.
