Los fraudes bancarios digitales han evolucionado. Ya no se limitan a correos electrónicos burdos o mensajes con errores evidentes. Hoy es habitual que la víctima reciba un SMS que aparenta proceder de su banco, una llamada de un supuesto empleado de la entidad o un correo electrónico con apariencia profesional.
El objetivo del fraude suele ser el mismo: lograr que el cliente facilite claves, códigos de verificación, datos de tarjeta o autorice una operación creyendo que está protegiendo su cuenta. Después, cuando la víctima reclama, el banco suele contestar que la operación fue validada correctamente y que la responsabilidad corresponde al cliente. Esa conclusión no siempre es correcta.
Qué tipos de fraude bancario pueden reclamarse.- En LeyCiber estudiamos habitualmente casos relacionados con:
- phishing: correos electrónicos que aparentan proceder del banco;
- smishing: SMS fraudulentos con enlaces o avisos de seguridad;
- vishing: llamadas telefónicas de falsos agentes bancarios;
- spoofing: suplantación del número o identidad de la entidad;
- operaciones con tarjeta no reconocidas;
- transferencias inducidas mediante engaño;
- accesos no autorizados a banca online;
- códigos OTP facilitados bajo manipulación;
- fraudes donde el cliente cree estar cancelando o bloqueando una operación.
La clave no está solo en si la operación fue técnicamente ejecutada, sino en determinar si existió verdadero consentimiento y si el banco cumplió sus obligaciones de seguridad, supervisión y reacción antifraude.
Responsabilidad del banco en operaciones no autorizadas.- La normativa de servicios de pago impone a las entidades financieras importantes deberes de seguridad.
Cuando un cliente niega haber autorizado una operación, corresponde al banco acreditar que la operación fue autenticada, registrada correctamente y que no existió fallo técnico. Pero eso no es suficiente en todos los casos.
La entidad también debe probar que el cliente actuó fraudulentamente o con negligencia grave si quiere quedar exonerada de devolver el dinero.
Es decir, el banco no puede limitarse a decir:
“La operación fue validada.”
“El cliente introdujo el código.”
“El sistema funcionó correctamente.”
“Tenemos certificados técnicos.”
Debe acreditar mucho más: diligencia preventiva, mecanismos antifraude, supervisión de operaciones anómalas y existencia de una conducta gravemente negligente del usuario.
Una sentencia relevante: condena a Banco Santander por phishing.- La Audiencia Provincial de Murcia, en Sentencia nº 199/2026, de 24 de febrero, confirmó la condena a Banco Santander a reintegrar 11.605,40 € a una clienta víctima de phishing.
La entidad bancaria recurrió alegando que la clienta había facilitado datos de seguridad y que las operaciones se habían realizado correctamente. Sin embargo, la Audiencia rechazó la apelación.
La Sala consideró que el banco no había acreditado suficientemente que hubiera desplegado mecanismos eficaces de advertencia, prevención y autenticación, ni que la conducta de la usuaria pudiera calificarse como negligencia grave.
También destacó que el correo fraudulento tenía apariencia creíble para una persona no experta: incluía elementos visuales del banco, no presentaba faltas de ortografía evidentes y podía inducir a error.
Esta resolución es importante porque refuerza una idea esencial: no toda víctima que introduce un código o dato bancario bajo engaño actúa con negligencia grave.
Por qué no basta con decir que hubo OTP o autenticación reforzada.- En muchos fraudes, el banco se defiende aportando registros internos, certificados de Redsys, logs de autenticación, códigos SMS o validaciones mediante aplicación.
Estos elementos pueden acreditar que la operación se ejecutó técnicamente, pero no siempre acreditan que la operación fuera jurídicamente consentida.
Tampoco prueban automáticamente que el cliente actuara con negligencia grave.
Una cosa es que el sistema registre una validación técnica. Otra distinta es que la víctima comprendiera realmente que estaba autorizando una transferencia, una compra o una disposición de fondos a favor de un tercero fraudulento.
En los casos de ingeniería social, el consentimiento suele estar viciado por engaño.
El concepto de negligencia grave debe interpretarse restrictivamente.- La negligencia grave no puede confundirse con un simple error, descuido o engaño sufrido por el usuario.
Para que el banco quede exonerado, debe acreditarse una conducta especialmente descuidada, cualificada y relevante del cliente. No basta con que la víctima haya caído en una maniobra sofisticada.
Los tribunales están valorando cada vez más la complejidad de estos fraudes, la apariencia de legitimidad de las comunicaciones y la posición de superioridad técnica de la entidad bancaria.
El banco es quien diseña, controla y explota los canales digitales. También es quien dispone de sistemas de monitorización, alertas, trazabilidad y bloqueo. Por tanto, debe acreditar que esos sistemas funcionaron correctamente y que eran suficientes para prevenir el fraude.
Qué debe contener una buena reclamación al banco.- Una reclamación eficaz no debe limitarse a pedir la devolución del dinero.
Debe exigir a la entidad:
- Reintegro de las cantidades sustraídas.
- Identificación técnica de las operaciones.
- Logs de acceso, IPs, dispositivos y sesiones.
- Sistema de autenticación utilizado.
- Expediente antifraude interno.
- Alertas generadas o explicación de por qué no se generaron.
- Trazabilidad de los fondos.
- Identificación de cuentas receptoras, cuando proceda.
- Bloqueo o retrocesión de fondos si todavía es posible.
- Conservación de prueba técnica para una eventual demanda.
Además, en muchos casos conviene formular la reclamación con valor de medio adecuado de solución de controversias, preparando desde el inicio una posible demanda judicial si el banco rechaza la devolución.
Por qué actuar rápido es importante.- En los fraudes bancarios, el tiempo es relevante. Cuanto antes se actúe, mayores posibilidades existen de:
- bloquear tarjetas o cuentas;
- solicitar retrocesión;
- conservar prueba técnica;
- identificar cuentas receptoras;
- evitar pérdida de logs;
- reforzar la denuncia penal;
- acreditar que la víctima comunicó el fraude sin demora.
Una actuación tardía puede debilitar el expediente y facilitar la defensa del banco.
Cómo trabaja LeyCiber estos asuntos.- En LeyCiber abordamos los fraudes bancarios con una metodología contrastada y propia:
- análisis de denuncia, justificantes, SMS, llamadas, correos y extractos;
- reconstrucción cronológica de los hechos;
- valoración de la operativa desde la normativa PSD2 y servicios de pago;
- reclamación formal al banco;
- activación de la vía MASC cuando procede;
- solicitud de conservación de prueba técnica;
- requerimiento de logs, IPs, dispositivos, SCA y expediente antifraude;
- análisis de la respuesta bancaria;
- preparación de reclamación ante Banco de España o demanda judicial, según el caso.
El objetivo es construir un expediente sólido desde el primer momento.
Conclusión: Si ha sufrido un fraude bancario por SMS, llamada, correo falso o suplantación de su banco, no debe aceptar sin más la respuesta de la entidad. Que una operación figure como autenticada no significa automáticamente que usted haya prestado un consentimiento válido ni que haya actuado con negligencia grave. Cada caso debe estudiarse con detalle.
En LeyCiber analizamos la viabilidad de reclamar frente al banco y preparamos la estrategia para intentar recuperar las cantidades sustraídas.