La responsabilidad bancaria por fraude digital está en plena evolución. Durante mucho tiempo, muchas entidades han rechazado reclamaciones con una fórmula casi automática: “la operación fue validada correctamente”. Pero esa respuesta está siendo cada vez más cuestionada.
La PSD2 y su transposición en España mediante el Real Decreto-ley 19/2018 establecen un marco de protección para operaciones de pago no autorizadas. El punto central es claro: el proveedor de servicios de pago debe reembolsar al usuario salvo que pueda acreditar fraude o negligencia grave del cliente.
La carga de la prueba no puede invertirse contra la víctima.- En la práctica, muchas víctimas se encuentran con un problema: el banco dispone de los logs, registros, IPs, trazabilidad, alertas antifraude, scoring de riesgo y sistemas internos; el cliente, no.
Por eso, cuando una entidad deniega la devolución, no basta con decir que hubo autenticación reforzada. Debe explicar:
- qué operación se autorizó;
- desde qué dispositivo;
- con qué IP;
- qué sistema de autenticación se utilizó;
- si hubo cambio previo de dispositivo;
- si existieron alertas internas;
- si la operación era anómala;
- si se activaron controles reforzados;
- por qué no se bloqueó la transferencia.
La discusión jurídica actual se centra en evitar que la víctima cargue con una prueba imposible.
El criterio europeo pendiente.- La banca española está especialmente pendiente de un posible pronunciamiento del Tribunal de Justicia de la Unión Europea sobre quién debe soportar inicialmente el coste de determinadas ciberestafas. Según la información publicada, el debate gira en torno a si los bancos deben reembolsar rápidamente las operaciones no autorizadas y discutir después si procede o no la devolución cuando alegan negligencia grave del cliente.
Si ese criterio se consolida, puede alterar significativamente la práctica actual, en la que muchas entidades retienen el dinero y obligan a la víctima a iniciar una reclamación larga, técnica y costosa.
SCA: importante, pero no suficiente.- La autenticación reforzada de cliente —SCA— es una pieza relevante del sistema. Pero no es una carta blanca para la entidad.
El informe conjunto EBA/BCE sobre fraude en pagos señala que las operaciones verificadas con SCA suelen ser menos vulnerables al fraude, especialmente en pagos con tarjeta, aunque en otros tipos de pago, como transferencias, el efecto es menos claro. También advierte que los defraudadores se adaptan a los mecanismos de autenticación.
Esto confirma una idea esencial: la seguridad bancaria no termina en enviar un código al móvil.
Fraude autorizado, manipulado o no consentido.- En muchos fraudes actuales, el cliente no es un sujeto que actúa libremente con plena información. Es una víctima dirigida por una estructura criminal.
Puede haber:
- suplantación del banco;
- manipulación telefónica;
- ingeniería social;
- control remoto del dispositivo;
- instalación de malware;
- engaño mediante falsas plataformas de inversión;
- presión psicológica;
- operaciones inducidas bajo una falsa representación de la realidad.
Por eso, el consentimiento debe analizarse materialmente, no solo formalmente.
Qué reclamamos en LeyCiber.- En una reclamación PSD2 seria, no basta con pedir “devuélvanme el dinero”. Hay que exigir la prueba técnica.
En LeyCiber solicitamos, entre otros extremos:
- registros de autenticación;
- logs de sesión;
- IPs;
- dispositivos utilizados;
- geolocalización técnica disponible;
- alertas antifraude;
- scoring de riesgo;
- cambios de credenciales;
- modificación de límites;
- altas de beneficiarios;
- tiempos entre operaciones;
- análisis de conducta transaccional;
- expediente antifraude completo.
La entidad debe acreditar que actuó conforme al estándar exigible. Y si no puede hacerlo, su posición se debilita.
Conclusión: La PSD2 no es un formalismo. Es un marco de protección del usuario frente a un sistema de pagos digital cada vez más complejo.
En 2026, el debate ya no está en si el cliente recibió o no un SMS. El debate real es si el banco hizo todo lo que debía hacer para prevenir, detectar, bloquear y reaccionar ante una operación fraudulenta.