Bancos y Phishing: El TJUE obliga a la devolución inmediata de fondos
- El TJUE establece que los bancos deben reembolsar fondos sustraídos por phishing en un máximo de un día hábil.
- La entidad financiera no puede denegar la devolución inmediata alegando negligencia grave del usuario.
- La Audiencia Provincial de Zaragoza ya aplica esta doctrina, obligando a Ibercaja a devolver 6.000 euros.
- Si el banco considera que hubo negligencia, deberá devolver el dinero primero y reclamarlo judicialmente después.
El ecosistema financiero europeo acaba de experimentar un giro copernicano en la gestión de los fraudes digitales. Una sentencia del Tribunal de Justicia de la Unión Europea (TJUE) ha redefinido la responsabilidad de las entidades bancarias frente a las víctimas de phishing, smishing y otras modalidades de ingeniería social. Hasta ahora, era habitual que los bancos rechazaran las reclamaciones de sus clientes alegando una negligencia grave, obligando al usuario a emprender largos y costosos procesos judiciales para recuperar sus ahorros.
La nueva directriz es tajante: el banco debe restituir el importe de una operación no autorizada de forma inmediata. El plazo máximo establecido es el final del siguiente día hábil. Este cambio desplaza la carga de la prueba y el riesgo financiero del consumidor hacia la entidad bancaria, alterando la dinámica de resolución de conflictos en la banca digital.
La sentencia C-70/25 y el fin de la espera judicial
El origen de este cambio normativo se encuentra en el asunto C-70/25, donde una clienta de un banco polaco fue víctima de un engaño tras intentar vender un objeto en un portal de subastas. El estafador, mediante un enlace falso que imitaba la web bancaria, logró obtener sus credenciales y un código SMS, transfiriendo 3.000 zlotys (aproximadamente 705 euros). El banco se negó a devolver el dinero basándose en la imprudencia de la usuaria.
Sin embargo, el TJUE ha determinado que la obligación de reembolso es independiente de la eventual responsabilidad del consumidor. Bajo el marco de la Directiva de Servicios de Pago (PSD2), el proveedor de servicios de pago debe restituir el importe sustraído sin dilaciones. La entidad financiera ya no puede utilizar la sospecha de negligencia como escudo para retener los fondos.
El nuevo orden de reclamación: primero se devuelve, luego se prueba
La lógica jurídica impuesta por Luxemburgo introduce lo que algunos juristas describen como un proceso invertido. En lugar de que el cliente demande al banco para recuperar su dinero, el banco debe devolver la cantidad y, posteriormente, si considera que el cliente actuó con negligencia grave o cometió un fraude, deberá iniciar él mismo la acción legal para reclamar esos fondos.
Esta medida busca evitar que las víctimas, a menudo personas con menos recursos o conocimientos técnicos, queden desprotegidas durante años mientras se dirime un juicio. La OCU ha aplaudido este fallo, señalando que pone fin a la estrategia de muchas entidades de trasladar la carga procesal al afectado.
El caso Ibercaja y la aplicación real en Zaragoza
La doctrina europea no ha tardado en aterrizar en los tribunales españoles. La Audiencia Provincial de Zaragoza, en su sentencia 522/2026, ha aplicado estrictamente este criterio en un caso que involucraba a dos clientes de Ibercaja, Fabio y Zaida. La pareja perdió más de 6.000 euros tras caer en una estafa de smishing, donde el defraudador se hizo pasar por el gestor de banca digital de la entidad a través de WhatsApp y llamadas telefónicas.
Ibercaja argumentó que existió una negligencia grave, ya que los clientes revelaron claves de seguridad, de firma y de ratificación. A pesar de que un tribunal de instancia había desestimado inicialmente las pretensiones de los usuarios en julio de 2024, la Audiencia Provincial revirtió la decisión. El tribunal recordó que, siguiendo la doctrina del TJUE, el banco tiene la responsabilidad de cuidar a sus usuarios, independientemente de las acciones imprudentes que estos puedan haber tenido.
La AP de Zaragoza ha señalado que el TJUE mantiene una especie de solve et repete invertido, favoreciendo al consumidor reclamante frente a la entidad bancaria.
Tipologías de fraude bajo la lupa judicial
Para los emprendedores y gestores de negocio que operan en el entorno digital, es crucial entender que esta protección no se limita a un solo método de ataque. La jurisprudencia actual abarca diversas modalidades de engaño tecnológico que afectan tanto a personas físicas como a cuentas corporativas:
El phishing, basado en correos electrónicos fraudulentos, y el smishing, que utiliza SMS, son los más comunes. A estos se suman el vishing, mediante llamadas telefónicas engañosas, y el spoofing, que consiste en la falsificación de la identidad del remitente a través de webs o números de teléfono manipulados. En todos estos casos, si la operación resulta no autorizada, el banco se enfrenta ahora a la obligación de reembolso inmediato, según se detalla en Confilegal.
Implicaciones para el tejido empresarial y digital en España
Esta resolución tiene un impacto directo en la agenda digital española y en la forma en que las empresas deben gestionar su ciberseguridad y sus relaciones con las entidades financieras. En un contexto donde el AI Act y las normativas europeas buscan blindar al usuario frente a la tecnología, la responsabilidad se desplaza hacia quien provee la infraestructura técnica.
Para las pymes y autónomos españoles, esto significa una mayor seguridad jurídica ante fraudes, pero también una alerta sobre la necesidad de implementar protocolos de seguridad internos más robustos. El tejido empresarial español, caracterizado por una alta fragmentación de pequeñas empresas, es especialmente vulnerable a la ingeniería social. La tendencia es clara: la tecnología no puede ser una excusa para deslindar la responsabilidad del proveedor del servicio.
Además, este fallo presiona a los bancos españoles a invertir más en sistemas de detección de fraude basados en IA que sean capaces de bloquear transacciones sospechosas en tiempo real, ya que el coste de devolver el dinero inmediatamente es mucho mayor que el coste de prevenir el fraude mediante tecnología avanzada.
Preguntas frecuentes
¿Tengo derecho a recuperar mi dinero si cometí un error y di mis claves al estafador?
Sí, según la doctrina del TJUE, el banco debe devolver el dinero inmediatamente. Si el banco considera que hubo negligencia grave, deberá devolver los fondos primero y luego intentar reclamarlos legalmente.
¿En cuánto tiempo debe el banco devolver el dinero sustraído por phishing?
El reembolso debe ser inmediato y, como máximo, debe efectuarse al final del siguiente día hábil.
¿Qué es el smishing y cómo se diferencia del phishing?
El phishing es el engaño a través de correo electrónico, mientras que el smishing utiliza mensajes de texto (SMS) para engañar a la víctima y obtener sus datos.
¿Esta sentencia solo afecta a España?
No, es una sentencia del Tribunal de Justicia de la Unión Europea (TJUE), por lo que es aplicable a todos los Estados miembros de la UE, incluida España.
Fuentes: Confilegal, Bufetepadillatorrevieja, Ocu ·
glacom · IA para despachos de abogados: los expedientes no salen del despacho →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
