La Sala Primera del Tribunal de Justicia de la Unión Europea ha resuelto en el asunto C-70/25, Tukowiecka, mediante sentencia de 15 de octubre de 2026, una cuestión que condiciona la práctica totalidad de las reclamaciones por transferencias fraudulentas: ¿puede el banco negarse a devolver de inmediato el importe de una operación no autorizada porque el cliente facilitó sus credenciales a un estafador? La respuesta es NO. La negligencia grave del ordenante puede trasladarle, en su caso, la pérdida definitiva, pero no suspende ni excluye la obligación de reembolso inmediato prevista en el artículo 73 de la Directiva (UE) 2015/2366, de servicios de pago en el mercado interior.

Las estafas informáticas como problema bancario

El phishing no es una novedad, pero lo cierto es que ha cambiado de escala. Consiste en suplantar la identidad de una entidad de confianza - habitualmente el banco - para inducir al usuario a facilitar claves, códigos recibidos por SMS o datos de acceso. El smishing es su variante por mensaje de teléfono móvil y el vishing, por llamada telefónica; y seguro que surgen nuevas modalidades de estafa más innovadoras, pues bien conocido es el ingenio y la creatividad que gastan los enemigos de lo ajeno. Lo común en todos estos casos es que el estafador no fuerza normalmente el sistema, sino que explota la confianza de la persona y la convierte en el eslabón débil de una operativa bancaria de pagos que las entidades «venden» como segura.

La expansión de la banca electrónica, las transferencias instantáneas y la autenticación mediante códigos de un solo uso multiplicaron el riesgo. El cliente recibe un aviso urgente, un supuesto cargo, una confirmación de compra o un enlace que reproduce fielmente la página de su entidad; introduce sus datos, facilita el código y la transferencia se ejecuta en segundos. Cuando descubre el fraude, el dinero ha abandonado frecuentemente la cuenta y ha pasado por varias entidades o criptoactivos.

El contexto de la Directiva sobre servicios de pago.

La Directiva 2015/2366 sustituyó a la primera Directiva de servicios de pago, la 2007/64/CE. Fue propuesta por la Comisión en julio de 2013, negociada en el marco del mercado único digital y aprobada en 2015 con un amplio consenso institucional entre el Parlamento Europeoy el Consejo, con un doble objetivo: abrir el mercado de pagos a nuevos operadores y reforzar la protección del usuario frente al fraude.

La transposición de esta Directiva en España se hizo a través del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago, y después mediante el Reglamento (UE) 2018/389, de 27 de noviembre de 2017.

Devolver o retener: he aquí el dilema

El artículo 73.1 de la Directiva impone al proveedor de servicios de pago devolver de inmediato el importe de la operación no autorizada y, en todo caso, a más tardar al final del día hábil siguiente a su detección o notificación. La única excepción prevista es la existencia de motivos razonables para sospechar fraude del propio ordenante, comunicados por escrito a la autoridad competente.

El artículo 74.1 regula, en cambio, quién soporta finalmente la pérdida. El cliente podrá asumir todas las consecuencias si actuó fraudulentamente o si incumplió, deliberadamente o por negligencia grave, sus obligaciones de custodia del instrumento de pago y de sus credenciales de seguridad.

Lo habitual es que los bancos aduzcan esa negligencia grave que les exime legalmente de reembolsar, pero ahora el TJUE ha rechazado esa lectura.

La sentencia distingue con nitidez el momento del reembolso y el reparto definitivo de la pérdida. La negligencia grave pertenece al segundo plano, no al primero. El banco debe devolver el dinero al cliente y, solo después, podrá reclamarle si acredita que actuó con fraude o con negligencia grave al proteger sus credenciales.

Esta solución se apoya en tres razones: (1) el artículo 73.1 no contiene excepción alguna por negligencia del usuario; (2) el artículo 74 no regula la devolución, sino la responsabilidad posterior; y (3) el artículo 72.2 impone al proveedor la carga de probar el fraude o la negligencia grave: la simple constancia de que la operación se ejecutó con las claves del cliente no basta para presumir autorización ni imprudencia.

Un antes y un después

Antes de esta sentencia, muchas entidades convertían la sospecha de imprudencia en un motivo para no reembolsar, trasladando al cliente la carga de demandar. Ahora, el orden de la relación se invierte: primero el reembolso; después, la eventual reclamación bancaria, con prueba plena de la negligencia grave.

Para quienes han sufrido una estafa de este tipo, la consecuencia práctica es relevante: la comunicación inmediata al banco, la denuncia y la conservación de capturas, mensajes y justificantes pueden resultar decisivos. Y, ante una negativa o una respuesta dilatoria, conviene valorar sin de mora las opciones de reclamación con asesoramiento jurídicoespecializado, porque el plazo y la forma de acreditar la operación no autorizada marcan frecuentemente la diferencia entre recuperar el importe o asumirlo.