Phishing: la frontera de la responsabilidad bancaria

Jose Domingo Monforte

Sofía Sisamón Bonafonte

Abogados. DOMINGO MONFORTE Abogados Asociados

Colaboración: Mar Ferriol y Andrés Aybar. Programa formativo ‘Festina lente’

La generalización de la banca digital ha transformado de manera profunda la prestación de servicios financieros, pero también ha incrementado la exposición de los usuarios a nuevas modalidades de fraude tecnológico, entre ellas el phishing, cuyo nivel de sofisticación plantea desafíos jurídicos relevantes.

El phishing constituye una técnica de engaño mediante la cual los autores suplantan la identidad de entidades financieras con el objetivo de obtener las credenciales del usuario. Ello genera un conflicto jurídico cuyo eje reside en determinar si el cliente debe soportar las consecuencias de un fraude cada vez más depurado o si, por el contrario, corresponde a la entidad bancaria garantizar la seguridad de las operaciones y responder civilmente cuando sus mecanismos de protección resultan insuficientes.

En trabajos anteriores ya analizamos el estándar de diligencia exigible a las entidades bancarias y los criterios jurisprudenciales que definen su responsabilidad civil en operaciones no autorizadas: “Phishing: responsabilidad civil de las entidades bancarias. Estándares de diligencia” (Domingo Monforte Abogados Asociados).

El presente artículo se centra en el reverso de esa cuestión: la noción de negligencia grave del usuario y su impacto como causa de exoneración de responsabilidad conforme a la Ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera.

El usuario medio no es un experto en ciberseguridad, por lo que su confianza en canales que aparentan ser legítimos es razonable, especialmente cuando la apariencia creada por el defraudador reproduce con fidelidad la imagen corporativa de la entidad. Si el banco permite la ejecución de operaciones sin detectar movimientos anómalos, incumple un deber de diligencia reforzada que no puede ser trasladado al cliente.

No obstante, dicho principio cede cuando concurre negligencia grave del usuario. La normativa exige al cliente custodiar sus credenciales y notificar cualquier irregularidad. Ahora bien, introducir datos en una web que reproduce con verosimilitud la plataforma de la entidad no constituye, en sí mismo, negligencia grave. El fraude por phishing se basa precisamente en generar una apariencia perfecta de legitimidad, lo que impide considerar temeraria la conducta del cliente que actúa bajo un error inducido.

En esta línea, la Sentencia del Tribunal Supremo nº 571/2025, Sala de lo Civil, de 9 de abril de 2025, marca un hito interpretativo al abordar un caso de phishing combinado con SIM swapping. El Tribunal determina que la existencia de sistemas de doble autenticación —como la recepción de códigos vía SMS— no exonera automáticamente de responsabilidad a la entidad si el usuario niega haber autorizado las operaciones.

El Alto Tribunal califica la responsabilidad bancaria como cuasi objetiva, de modo que solo queda excluida si la entidad acredita fraude o negligencia grave del usuario. Para rechazar dicha negligencia en el caso analizado, la Sala valora diversos elementos que evidencian un comportamiento diligente por parte del cliente:

1. Conducta preventiva: El usuario había advertido previamente al banco de la recepción de SMS sospechosos relativos a operaciones no autorizadas.
2. Reacción inmediata: El cliente modificó las claves de acceso a su correo electrónico cuando recibió avisos de intentos de intrusión, demostrando atención activa a la seguridad.
3. Sofisticación técnica del fraude: El SIM swapping constituye una actuación intrusiva ajena al control del usuario, que no puede prever ni evitar la duplicación ilícita de su tarjeta SIM.
4. Falta de reacción bancaria: La entidad no detectó una operativa claramente anómala, consistente en quince transferencias consecutivas realizadas durante una sola noche, lo que evidencia un déficit en los sistemas de alerta y monitorización.

A partir de esta doctrina, resulta claro que la estrategia procesal de la entidad, en caso de fraude, se centrará en intentar acreditar negligencia grave del usuario. Por ello, la reacción del cliente es determinante. La Ley de servicios de pago establece un estándar mínimo de diligencia que, en caso de injerencia fraudulenta, debe traducirse en un protocolo básico de actuación:

1. Bloqueo inmediato de tarjetas, claves y accesos digitales.
2. Notificación urgente al banco y obtención de un justificante de incidencia.
3. Conservación íntegra de la evidencia digital: capturas, SMS, correos, enlaces y registros.
4. Presentación de denuncia ante las autoridades competentes.
5. Reclamación formal ante el Servicio de Atención al Cliente de la entidad.
6. Escalada a órganos externos (Defensor del Cliente o Banco de España) si procede.
7. Cambio de todas las credenciales sensibles y revisión de la seguridad de los dispositivos.
8. Vigilancia periódica de movimientos posteriores.

La jurisprudencia menor viene consolidando una doctrina protectora del usuario frente al fraude por phishing, confirmando el carácter cuasi objetivo de la responsabilidad bancaria salvo prueba en contrario relativa a una negligencia manifiesta del cliente. Tanto la Sentencia de la Audiencia Provincial de Alicante, Sección 8.ª, nº 107/2018, de 12 de marzo, como la Sentencia de la Audiencia Provincial de Madrid, Sección 9.ª, nº 178/2015, de 4 de mayo, declaran que el simple hecho de que el usuario sea inducido a error por una web fraudulenta no constituye imprudencia temeraria. Además, ambas resoluciones inciden en que corresponde a la entidad probar la falta de diligencia del cliente, prueba que no se satisface con la mera existencia del engaño.

Por el contrario, en ambos casos los tribunales reprochan a las entidades su defectuosa actuación al no activar mecanismos de bloqueo ni reaccionar ante patrones evidentes de fraude. En el asunto enjuiciado por la Sala Provincial de Alicante, el banco ignoró intentos previos de acceso no autorizado, pese a ser advertido por los clientes. En el caso resuelto por la Audiencia Provincial de Madrid, la entidad permitió superar el límite diario pactado de transferencias sin activar alertas, pese a producirse movimientos repetidos hacia cuentas extranjeras.

En definitiva, el usuario de servicios bancarios que actúa de buena fe y mantiene una custodia razonable de sus credenciales no puede ser penalizado por sucumbir a un fraude específicamente diseñado para vulnerar su confianza. La sofisticación del phishing y del SIM swapping sitúa estos riesgos fuera del ámbito de control del consumidor medio, por lo que su conducta rara vez puede calificarse como negligencia grave.

Cuando el usuario actúa con rapidez y comunica de inmediato el fraude, la responsabilidad recae sobre la entidad bancaria, obligada a garantizar la indemnidad de los fondos y a disponer de sistemas de seguridad capaces de detectar y bloquear operativas anómalas.