Cada vez son más frecuentes los fraudes bancarios en los que el cliente recibe un correo electrónico, SMS o llamada que aparenta proceder de su banco. El mensaje puede estar bien redactado, incluir el logotipo de la entidad, aparecer dentro de un hilo aparentemente legítimo o venir acompañado de una llamada de un supuesto empleado del banco.
En muchos casos, la víctima acaba introduciendo claves, códigos SMS, datos de tarjeta o autorizando operaciones creyendo que está bloqueando un fraude, cancelando una compra o protegiendo su cuenta. Cuando posteriormente reclama, la respuesta del banco suele ser casi siempre la misma:
“La operación fue correctamente autenticada.”
“Usted introdujo los códigos.”
“No hubo fallo técnico.”
“Existe negligencia grave del cliente.”
Sin embargo, esa respuesta no cierra el caso.
La autenticación técnica no equivale siempre a consentimiento válido.- Una operación puede aparecer técnicamente autenticada y, aun así, haber sido ejecutada dentro de un fraude de suplantación bancaria.
La cuestión jurídica clave no es solo si se introdujo un código, una clave o un CVV. La cuestión relevante es si el cliente prestó un consentimiento real, libre y válido para realizar esa operación, o si actuó engañado por una maniobra fraudulenta que simulaba proceder del propio banco.
En los fraudes de phishing, smishing, vishing o spoofing, la víctima no quiere entregar dinero a un tercero. Normalmente cree que está evitando un perjuicio mayor, cancelando una operación sospechosa o siguiendo instrucciones de seguridad supuestamente dadas por su entidad bancaria.
Por eso, la defensa del consumidor no puede quedar anulada automáticamente por el mero hecho de que haya introducido una clave bajo engaño.
La Audiencia Provincial de Murcia refuerza la responsabilidad del banco.- La Audiencia Provincial de Murcia, en Sentencia nº 199/2026, de 24 de febrero, confirmó la condena a Banco Santander a devolver 11.605,40 € a una clienta que había sufrido un fraude de phishing.
En aquel caso, la clienta recibió un correo que aparentaba proceder de Banco Santander. Al acceder al enlace, introdujo determinados datos de sus tarjetas. Posteriormente se ejecutaron operaciones no autorizadas. El banco defendió que no debía devolver el dinero porque la clienta había facilitado datos de seguridad y porque las operaciones se habían ejecutado correctamente desde el punto de vista técnico.
La Audiencia rechazó ese planteamiento. La sentencia recuerda que, en materia de servicios de pago, existe un sistema de responsabilidad cuasi objetiva de la entidad bancaria. Esto significa que el banco debe devolver el dinero salvo que consiga acreditar que el cliente actuó fraudulentamente o con negligencia grave.
Y esto es esencial: no basta con que el banco aporte registros técnicos o certificados de ejecución de la operación. La entidad debe acreditar también que actuó diligentemente y que el usuario incurrió en una negligencia grave real, no simplemente presumida.
El banco tiene la carga de la prueba.- En este tipo de procedimientos, el banco debe demostrar:
- Que la operación fue autenticada, registrada y contabilizada correctamente.
- Que no existió fallo técnico ni deficiencia del servicio.
- Que sus sistemas de supervisión y prevención fueron adecuados.
- Que el cliente actuó con fraude o negligencia grave.
La carga de la prueba no puede desplazarse automáticamente al consumidor.
Además, la mera utilización del instrumento de pago o la introducción de una clave no basta necesariamente para demostrar que la operación fue autorizada válidamente ni que el cliente actuó de forma gravemente negligente.
Las advertencias genéricas del banco no siempre son suficientes
Muchas entidades intentan defenderse alegando que tienen advertencias de seguridad en su página web o que informan a los clientes de que nunca deben facilitar claves.
Pero las advertencias genéricas no siempre bastan.
El banco debe acreditar que adoptó medidas reales, eficaces y proporcionadas para prevenir operaciones fraudulentas, detectar patrones anómalos, advertir al cliente y reaccionar ante una operativa sospechosa.
La existencia de una página web con consejos de seguridad no exime automáticamente a la entidad de responsabilidad.
¿Qué ocurre si el fraude fue sofisticado?.- Los fraudes actuales no son simples correos mal escritos con faltas de ortografía. Muchos ataques están cuidadosamente preparados. Utilizan logotipos reales, lenguaje bancario, números de teléfono aparentemente nacionales, SMS en hilos legítimos, llamadas con información parcial del cliente y técnicas de presión psicológica.
Por eso, la negligencia grave no puede apreciarse de forma automática.
Debe analizarse el caso concreto: apariencia del mensaje, contexto de la llamada, rapidez de las operaciones, cuantía, historial del cliente, respuesta del banco, sistemas de alerta, autenticación utilizada y medidas antifraude aplicadas.
¿Cuándo puede reclamar el cliente?.- Puede existir base para reclamar cuando se han producido:
- cargos con tarjeta no reconocidos;
- transferencias inducidas bajo engaño;
- operaciones realizadas tras SMS falsos del banco;
- llamadas de supuestos agentes bancarios;
- accesos no autorizados a banca online;
- operaciones con claves obtenidas mediante engaño;
- movimientos anómalos que el banco no bloqueó;
- falta de respuesta eficaz de la entidad tras comunicar el fraude.
Cada caso debe analizarse técnicamente, pero el hecho de haber introducido un código no significa necesariamente que el asunto esté perdido.
Qué debe hacer si ha sido víctima de phishing bancario.- Si ha sufrido un fraude bancario, es importante actuar con rapidez:
- Comunicar inmediatamente el fraude al banco.
- Solicitar el bloqueo de tarjetas, cuentas y banca online.
- Presentar denuncia.
- Guardar SMS, correos, llamadas, justificantes y capturas.
- Reclamar formalmente al Servicio de Atención al Cliente del banco.
- Solicitar logs, IPs, dispositivos, autenticaciones y expediente antifraude.
- Valorar la vía ante Banco de España y, si procede, la demanda judicial.
En LeyCiber analizamos este tipo de fraudes desde una perspectiva bancaria, tecnológica y jurídica, preparando reclamaciones frente a la entidad, activando la vía MASC cuando procede y construyendo el expediente para una eventual reclamación judicial.
Conclusión: El banco no puede rechazar automáticamente una reclamación por phishing alegando que “la operación fue autenticada”.
La autenticación técnica no siempre equivale a consentimiento válido. Y la entrega de claves bajo engaño no implica por sí sola negligencia grave.
Si ha sido víctima de phishing, smishing, vishing o suplantación bancaria, conviene analizar el caso antes de asumir la pérdida como definitiva.
En LeyCiber estudiamos su documentación, reconstruimos la operativa fraudulenta y valoramos la viabilidad de reclamar la devolución de las cantidades frente a la entidad bancaria.