Cuando el banco responde “la operación fue autorizada”. Una de las respuestas más habituales que reciben las víctimas de una estafa digital es la siguiente: “La operación fue correctamente autenticada y, por tanto, no procede la devolución.”
Esa frase, aparentemente técnica, suele cerrar la puerta administrativa del banco. Pero jurídicamente no debería cerrar el caso.
En LeyCiber vemos con frecuencia reclamaciones en las que la entidad bancaria reduce todo el análisis a una cuestión puramente formal: hubo acceso a la banca online, se introdujeron claves, se validó una transferencia o se confirmó una operación. A partir de ahí, el banco concluye que el cliente autorizó el pago.
El problema es que autenticación no equivale necesariamente a consentimiento válido.
La normativa de servicios de pago obliga a analizar si la operación fue realmente autorizada por el usuario y si la entidad cumplió sus deberes de seguridad, control, prevención y reacción ante una operativa anómala. El Real Decreto-ley 19/2018 regula la responsabilidad del proveedor de servicios de pago en operaciones no autorizadas y el régimen de responsabilidad del usuario, especialmente cuando se pretende alegar negligencia grave.
La diferencia clave: autenticación técnica y consentimiento jurídico. En un fraude digital puede existir una validación técnica de la operación y, aun así, faltar consentimiento real.
Esto ocurre, por ejemplo, cuando la víctima actúa bajo engaño, manipulación, suplantación de identidad, ingeniería social, falsas plataformas de inversión, falsas llamadas del banco, falsos asesores financieros o entornos digitales diseñados para inducir al error.
El banco suele centrarse en si se superó la autenticación reforzada. Sin embargo, la cuestión jurídica relevante es más amplia:
¿Era una operación coherente con el perfil del cliente?
¿Existían transferencias previas similares?
¿El importe era anómalo?
¿El destinatario era nuevo?
¿Hubo cambios de dispositivo, IP o patrón de comportamiento?
¿Se generaron alertas internas?
¿Se bloquearon o revisaron operaciones sospechosas?
¿Se informó adecuadamente al cliente?
¿El banco conserva los logs y evidencias técnicas?
Cuando estas preguntas no se contestan, el banco no ha demostrado todo lo que debe demostrar.
La carga probatoria no puede trasladarse íntegramente a la víctima En muchos fraudes, la víctima se encuentra en una posición de clara inferioridad técnica. No tiene acceso a los sistemas antifraude del banco, a los registros internos, a las alertas, a los logs de autenticación, al scoring de riesgo ni a los protocolos aplicados.
Por eso, no basta con que la entidad afirme genéricamente que la operación fue correcta.
Debe acreditar técnicamente qué ocurrió, cómo se validó la operación, qué controles se activaron, qué señales de riesgo existieron y por qué no se bloqueó una operativa potencialmente fraudulenta.
La defensa de la víctima debe exigir documentación concreta:
- Registros de autenticación.
- IPs y dispositivos utilizados.
- Logs de sesión.
- Alertas antifraude.
- Scoring de riesgo.
- Cambios de beneficiario.
- Histórico comparativo de operativa.
- Protocolos de monitorización.
- Justificación de no bloqueo.
- Comunicaciones remitidas al cliente.
Sin esa prueba, la respuesta del banco queda en una afirmación unilateral.
El error de aceptar la primera negativa del banco. Muchas víctimas abandonan la reclamación cuando reciben una respuesta negativa del Servicio de Atención al Cliente. Es un error.
La negativa inicial del banco no determina necesariamente la viabilidad judicial del caso. De hecho, en muchos expedientes la respuesta del banco es incompleta, estandarizada y centrada en trasladar la culpa al usuario sin analizar de forma individualizada el fraude.
La estrategia correcta pasa por revisar tres planos:
Primero, el plano técnico: cómo se ejecutó la operación.
Segundo, el plano jurídico: si hubo autorización válida y si se puede imputar negligencia grave.
Tercero, el plano probatorio: qué puede demostrar realmente el banco y qué documentación debe exigirse.
Qué debe hacer una víctima. La víctima no debe limitarse a contar lo ocurrido. Debe construir un expediente.
Es fundamental conservar justificantes, mensajes, capturas, correos electrónicos, pantallas de la plataforma, conversaciones con supuestos asesores, denuncia policial, reclamación al banco y cualquier respuesta recibida.
Además, conviene requerir formalmente al banco para que preserve la prueba técnica. En fraudes digitales, la prueba puede estar en sistemas internos de la entidad. Si no se solicita desde el principio, puede perderse una parte esencial del caso.
Conclusión: Cuando un banco responde que una operación fue autorizada, no está diciendo necesariamente la última palabra. Está fijando su posición defensiva.
La cuestión real es otra: si la entidad puede acreditar que existió consentimiento válido, que el cliente actuó con negligencia grave y que el banco cumplió sus obligaciones de prevención, seguridad y control.
En LeyCiber analizamos este tipo de casos desde una perspectiva jurídica y tecnológica. Porque en una estafa digital no basta con mirar el justificante de la transferencia. Hay que reconstruir el sistema completo que permitió que el dinero saliera.