Domingo Monforte Abogados Asociados
José Domingo Monforte. Abogado. DOMINGO MONFORTE Abogados Asociados.
Alejandro Esteve Ferrer. Programa formativo ‘Festina lente’
El desarrollo de la banca digital ha supuesto un avance en la rapidez y eficacia de los servicios financieros, pero también ha generado nuevos riesgos vinculados a la cibercriminalidad. Uno de los más relevantes es el phising, técnica mediante la cual delincuentes obtienen fraudulentamente credenciales bancarias de los clientes mediante engaños electrónicos, suplantando la identidad de la entidad. Resultando una de las principales amenazas en el ámbito de la banca online y el comercio electrónico. Este fenómeno plantea la necesidad de delimitar la responsabilidad civil de la entidad financiera.
Como se ha anticipado, el phising se configura como un fraude en el que un tercero engaña al cliente/ usuario para obtener datos de acceso y realizar operaciones no autorizadas en su cuenta. Centrándonos en la acción civil resarcitoria, debe analizarse si el banco incurrió en incumplimiento contractual o extra contractual al no brindar la seguridad suficiente para proteger el patrimonio del cliente. Resultará clave valorar y determinar el alcance del deber de diligencia que recae sobre las entidades financieras. La relación entre banco y cliente tiene carácter contractual y está regida por los principios de buena fe, lealtad y confianza. En este marco, la entidad bancaria actúa como depositaria de fondos, asumiendo la obligación de custodia y de ejecución diligente de las órdenes del cliente. Esta posición le impone un deber reforzado de seguridad, dada la naturaleza profesional de la actividad bancaria y la posición de debilidad técnica e informativa del consumidor frente a la entidad.
La jurisprudencia ha establecido que los bancos deben implementar sistemas de seguridad adecuados para prevenir accesos indebidos y operaciones fraudulentas. Del mismo modo, la normativa sectorial impone y exige la autenticación reforzada del cliente y protocolos de monitorización de transacciones. Así, si el banco no adopta las medidas tecnológicas actualizadas y proporcionales a los riesgos del entorno digital, puede considerarse incumplidor de su deber de diligencia, lo que abre paso a su responsabilidad civil. La diligencia exigible no es meramente la de un “buen padre de familia”, sino la propia de una institución especializada y sometida a estándares de máxima profesionalidad.
La Audiencia Provincial de Asturias, en Sentencia de 28 de mayo de 2024, ha abordado el tratamiento de esta modalidad de fraude y de las bases que sustentan la responsabilidad de la entidad financiera cuando sus clientes son víctimas de la estafa conocida como phishing que, por lo general, suele consistir en un enlace incluido en un email o SMS que redirige a una página web fraudulenta para que introduzca su número de tarjeta de crédito, DNI, la contraseña de acceso a la banca online, etc. En el supuesto que allí se enjuició, los hechos partían de que la clienta recibió un SMS al teléfono móvil, supuestamente emitido por el Banco, advirtiéndole de que se había detectado un acceso inusual a su cuenta online por lo que era necesario que verificase sus datos. La clienta, sin sospechar que al seguir las instrucciones era redirigida a una página espejo, proporcionó sus claves habituales de seguridad como la OTP (One Time Password) o contraseña de un solo uso, y a los pocos minutos se realizaron dos transferencias por importe global de 4.690 €. que no ha sido recuperado.
La solución parte de la aplicación al caso de los arts. 44 a 46 R.D. Ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, que regulan la responsabilidad del proveedor de servicios de pago por la ejecución de operaciones no autorizadas. Dicha normativa establece, en primer lugar, que la carga de la prueba es del proveedor que debe demostrar que el usuario del servicio cometió fraude o negligencia grave. En segundo lugar, que se devolverá el importe salvo cuando el proveedor tenga motivos razonables para sospechar de fraude y comunique dichos motivos por escrito al Banco de España. Además, deberá analizarse la responsabilidad civil sobre las siguientes bases fáctico-jurídicas: 1) Cumplimiento del deber de diligencia: En la garantía de operaciones de pago implementando todos los mecanismos y controles de autenticación necesarios, incluido dotarse de tecnología “antiphising”.2) Excepciones: Solo puede liberarse si prueba que la orden de pago no se vio afectada por “un fallo técnico u otra deficiencia del servicio prestado por dicho proveedor”, o que el cliente ha actuado fraudulentamente o con negligencia grave a la hora de aplicar los medios razonables de protección de que haya sido provisto o cuando no haya comunicado a la entidad el pago no autorizado en cuanto tenga conocimiento de este. En cuanto a la negligencia grave, esta debe reservarse para supuestos donde la conducta de la víctima roza lo inexcusable, como falta o retraso en la comunicación de la estafa, o casos de imitaciones burdas y groseras, o requerimientos ilógicos o absurdos para obtener las claves de la víctima conforme a su formación y conocimientos. En el caso de la resolución, se trató de un escenario construido para inducir a una equivocación en la que era fácil caer si no se disponía de conocimientos avanzados en informática, por lo que no se ha probado que el demandante incurriera en negligencia grave.
Nuestro Tribunal Supremo ha reconocido en diversas sentencias que las entidades financieras deben resarcir a los clientes cuando las operaciones no autorizadas se producen por fallos en los sistemas de seguridad o por insuficiente verificación de la identidad del ordenante. En esta línea, el Tribunal Supremo - entre otras, STS 571/2025, de 9 de abril- otorga relevancia a la responsabilidad activa de las entidades financieras en su condición de proveedores especializados de servicios de pago, lo que implica no solo la puesta a disposición de herramientas de seguridad, sino también la implementación de mecanismos eficaces para la prevención y detección de operaciones inusuales o sospechosas. Concluyendo que el banco debe responder por el quebranto patrimonial causado al cliente/usuario que ha sido víctima de una estafa sin haber incurrido en negligencia grave, ante el incumplimiento de su obligación de proteger adecuadamente los sistemas de pago que deben garantizar la seguridad de las operaciones. El decálogo de obligaciones, esto es, patrones de diligencia cuyo incumplimiento determina la responsabilidad de la entidad financiera quedan allí establecidas: 1. Protección al usuario, incluso si usan sus claves: aunque se usaron códigos SMS, eso no prueba que el cliente autorizara las transferencias. El banco debe demostrar que hubo consentimiento, que su sistema funcionó correctamente y que el cliente actuó con negligencia grave o fraude. 2. No basta con tener seguridad, hay que aplicarla bien: el sistema del banco era legal, pero no detectó operaciones sospechosas como múltiples transferencias en horarios inusuales por grandes sumas. 3. El cliente actuó con diligencia: avisó al banco, cambió contraseñas y solicitó medidas de seguridad. Además, denunció el fraude de inmediato. No fue negligente. 4. Responsabilidad cuasi objetiva del banco: conforme al Real Decreto-ley 19/2018 y la Directiva (UE) 2015/2366, el banco debe devolver el dinero si el cliente niega haber autorizado la operación, salvo que pruebe fraude o negligencia grave.5. La autenticación no sustituye el consentimiento: usar códigos válidos no significa que el cliente haya dado su aprobación, si niega haber autorizado las operaciones. El consentimiento debe ser expreso y consciente. 6. Carga de la prueba. El banco debe probar que todo fue correcto: La entidad financiera demandada no logró demostrar que las operaciones fueron legítimas ni que su sistema funcionó sin fallos ni que el cliente actuó con negligencia grave o fraude. 7. Deficiencia del servicio bancario: La entidad bancaria no reaccionó ante señales claras de fraude, como alertas previas del cliente y transferencias inusuales, por lo que incurrió en una prestación defectuosa del servicio, aunque no haya fallo técnico. 8.Los contratos no pueden anular derechos legales: las cláusulas que eximen al banco de responsabilidad son inválidas si contradicen normativa imperativa. 9. No puede imputarse negligencia grave al cliente: advirtió al banco con antelación y actuó rápidamente tras el fraude, solicitó la cancelación de su tarjeta y el cambio de claves. Denunció inmediatamente al detectar las transferencias, lo que descarta la negligencia grave. 10. El banco debe tener un alto nivel de diligencia: se espera que actúe como un profesional experto, no como un “buen padre de familia”, lo que implica disponer de sistemas capaces de detectar operaciones sospechosas automáticamente y en este caso el banco no reaccionó a tiempo.
La jurisprudencia europea refuerza esta línea: el Tribunal de Justicia de la Unión Europea ha venido manteniendo que corresponde al proveedor de servicios de pago demostrar que una operación fue autorizada por el cliente y que se ejecutó correctamente. De lo contrario, deberá reembolsar de inmediato el importe de la operación fraudulenta. La responsabilidad civil de los bancos por phishing, generalmente, será contractual ante el incumplimiento de las obligaciones derivadas del contrato de depósito o de la prestación de servicios de pago, especialmente el deber de custodia de los fondos y de ejecución segura de operaciones. La regla general conllevará la responsabilidad de la entidad bancaria depositaria y la excepción que conllevará su exoneración se aplicará cuando pruebe que el cliente/ usuario actuó con negligencia grave o con dolo. Supuestos, como se ha dicho, que deben reservarse a los casos en que la conducta de la víctima roza lo inexcusable, como falta o retraso en la comunicación de la estafa, o casos de imitaciones burdas y groseras, o requerimientos ilógicos o absurdos para obtener las claves de la víctima conforme a su formación y conocimientos.
Concluyendo, la responsabilidad civil de las entidades bancarias en casos de phishing se sustenta sobre la base de que quien custodia fondos ajenos debe garantizar un nivel reforzado de seguridad, imponiendo a las entidades bancarias un estándar de diligencia elevado y una mayor responsabilidad frente a los fraudes cuyos autores materiales sean terceros que afectan a sus clientes, imponiéndoles un deber de protección del cliente cuya única excepción es la prueba de la negligencia grave del mismo. El marco normativo europeo y la doctrina jurisprudencial se orientan sobre un modelo de responsabilidad casi objetiva para las entidades financieras, como mecanismo de tutela del consumidor y de preservación de la confianza en el sistema bancario.
