La reciente jurisprudencia del Tribunal Supremo ha marcado un punto de inflexión en los procedimientos contra entidades bancarias por fraudes digitales. La cuestión central ya no es únicamente si la operación fue técnicamente autenticada, sino si el cliente prestó un consentimiento real, libre y consciente para ejecutar la transferencia.
La Sentencia del Tribunal Supremo 571/2025, de 9 de abril, ha reforzado una idea esencial: el uso de claves, SMS, códigos de verificación o doble factor de autenticación no basta por sí solo para acreditar que el cliente autorizó la operación. El banco debe probar algo más: que la operación fue consentida y que el cliente actuó con negligencia grave o fraude.
Este criterio resulta especialmente relevante en casos de phishing, smishing, spoofing, SIM swapping y fraudes vinculados a falsas plataformas de inversión, donde los delincuentes consiguen operar desde la cuenta del afectado utilizando credenciales obtenidas mediante engaño.
La jurisprudencia reciente insiste en que las entidades financieras son profesionales expertos. No basta con disponer de un sistema de seguridad formalmente correcto. El banco debe acreditar que su sistema fue eficaz en el caso concreto, que detectó operaciones anómalas, que reaccionó ante patrones sospechosos y que adoptó medidas de bloqueo o verificación reforzada cuando era exigible.
En estos casos, la defensa bancaria suele apoyarse en un argumento recurrente: “la operación se validó con las claves del cliente”. Sin embargo, esa tesis queda debilitada cuando existen indicios de operativa irregular: transferencias múltiples, importes elevados, horarios inusuales, destinatarios desconocidos, cuentas extranjeras, compra de criptomonedas o movimientos incompatibles con el perfil ordinario del cliente.
La clave jurídica está en el Real Decreto-ley 19/2018, que regula los servicios de pago y establece un régimen muy exigente para los proveedores de servicios de pago. En materia de operaciones no autorizadas, la carga probatoria recae sobre la entidad bancaria, especialmente cuando el cliente niega haber autorizado la operación.
En LeyCiber defendemos una tesis clara: autenticación no es consentimiento. Una operación puede haberse ejecutado técnicamente a través del canal bancario y, aun así, no haber sido jurídicamente autorizada por el cliente.
Por ello, cuando una víctima de fraude de inversión, criptomonedas o wallet pierde su dinero mediante transferencias bancarias, no debe asumir automáticamente que “ya no se puede hacer nada”. La responsabilidad puede alcanzar al banco si no acredita diligencia reforzada, ausencia de fallos de control y verdadera autorización del cliente.
Contacta con LeyCiber. Analizamos la trazabilidad del fraude, la actuación del banco, los movimientos realizados y la viabilidad de reclamar judicialmente las cantidades perdidas.