- Sin embargo, los procedimientos judiciales siguen siendo excesivos. Ahora un próximo pronunciamiento del TJUE podría aclarar aún más la relación entre entidad bancaria y consumidor
Aquella sentencia n.º 571/2025, de 9 de abril del 2025, de la que fue ponente el magistrado de la Sala Civil, Manuel Almenar fue más contundente con la entidad bancaria de lo habitual. El fallo confirma la sentencia de la Audiencia Provincial de Zaragoza y la del Juzgado de Primera Instancia número 7 en el 2021, de dicha ciudad. En este caso Ibercaja es quien tendrá que devolver con intereses los más de 83.000 euros que perdió un usuario que denunció el expolio de una de sus cuentas en un pleito que, hasta llegar al Supremo, ha supuesto una lucha judicial en cuatro años. También ratifica la condena en costas a Ibercaja.
Sobre este fallo expertos consultados por este medio indican indica que las tesis. Si un cliente pierde sus ahorros mediante una estafa de phishing y no hay pruebas de que la culpa sea de la víctima, la entidad tendrá que hacerse cargo del dinero, al menos hasta que el criminal sea encontrado y condenado, el banco solo queda exonerado de responder de este dinero «de inmediato» si se demuestra que ha sido el cliente el que ha provocado el robo con una actuación negligente o, incluso, fraudulenta.
Un año después, Miguel Angel Marqués, abogado que logró esa sentencia firmada por el Magistrado Manuel Almenar y Luis Rubí Blanc, socio de ardiCiber, tecnológica que ofrece soluciones a clientes creen que se ha avanzado bastante. Queda pendiente del fallo del TJJUE sobre un asunto de Polonia tras las conclusiones del Abogado General de este mes de marzo. El phishing se ha sofisticado y genera muchos problemas. Esta es la teoría, en la práctica la resistencia de los bancos aboca a muchos consumidores a procesos judiciales.
.Según datos del Ministerio del Interior, más del 16% de los delitos están relacionados con estafas informáticas, 1 de cada 5 denuncias son por hechos relacionados con la ciberdelincuencia lo que supone que la tasa de delitos es de 9,6 delitos por cada mil habitantes, “El crecimiento exponencial en esta última década ha sido por encima del 400%”, en un marco normativo basado en la directiva PSD2. y el RDLey 19/2018 que traspone la Ley de Servicios de Pago Esta normativa obliga a que las entidades bancarias conozcan a sus clientes y su operativa y que dispongan de mecanismos de autenticidad reforzada”.
Miguel Angel Marques, abogado que ganó ese asunto en el Supremo cree que las entidades bancarias han mejorado sus sistemas de seguridad (Imagen cedida por el autor)
Fraudes más sofisticados
Desde Zaragoza, Miguel Angel Marqués reconoce que se ha intensificado la lucha contra el fraude bancario. A raíz de aquel fallo judicial confiesa que muchas entidades bancarias realizaron distintas reuniones para analizar el contenido de la misma. “En este año se han incrementado los procedimientos contra las entidades bancarias y sofisticado los fraudes. Ahora hay fraudes relacionados con el canal de mensajería del banco que se suplanta, con un supuesto fraude de un hijo en apuros que existe o por falsas inversiones. Es un momento en el que personas físicas y jurídicas deben extremar el cuidado para no caer en estos fraudes”.
Los casos se han multiplicado y hay que extremar las precauciones “Las cuantías son exageradas, hace unos días presente una demanda porque a una empresa le hicieron 763 transferencias en 52 días. El fraude se amplia y se sofistica aun más”. A nivel judicial reconoce que tras las conclusiones del Abogado General sobre un asunto relacionado con Phising en Polonia, deja claro que la entidad financiera debe devolver el dinero y si considera que éste ha cometido una ineficiencia grave, tendrá que demandarlo. Ahora habrá que ver que dice el TJUE en breve ”, aclara.
A juicio de Marqués otra cuestión importante que resalte es la obligación ya en marcha desde el pasado 9 de octubre de que los bancos en la UE deben ofrecer un servicio gratuito de verificación del beneficiario (nombre e IBAN) para transferencias inmediatas en euros, según el Reglamento (UE) 2024/886. Esta norma obliga a cotejar los datos antes de emitir el pago para prevenir fraudes de suplantación y errores. Si el nombre y el IBAN no coinciden, la entidad bancaria deberá informar al ordenante. Si aun así el usuario decide proceder, el banco le advertirá de los posibles riesgos.
Este experto reconoce que hay un proyecto de Reglamento de la nueva Directiva de Medios de pagos que dice cosas muy interesantes. Entre ellas indica que pretende reforzar significativamente la protección contra el phishing y otros tipos de fraude online. A diferencia de la PSD2, el nuevo marco normativo se enfoca en compartir información entre entidades y aumentar la responsabilidad de los proveedores ante el fraude.
En ese Reglamento además de esa verificación del IBAN y la creación de un marco jurídico para que los proveedores de servicios de pago compartan información sobre estafas en curso, facilitando la detección temprana, la futura norma amplia los de derechos de reembolso: Se amplían los casos en los que las víctimas de fraude tienen derecho a la devolución de su dinero.
Al mismo tiempo se subraya a Responsabilidad del banco en suplantación (spoofing): Se refuerza la responsabilidad del banco si el cliente es víctima de suplantación de identidad (por ejemplo, cuando un estafador finge ser un empleado del banco), obligando a reembolsos más ágiles.
Y en cuanto a la Educación al cliente: Los proveedores de servicios de pago estarán obligados a formar a su personal y concienciar a los clientes sobre los riesgos de fraude
Sobre la evolución de las sentencias reconoce que ha habido una evolución desde el 2021, donde surgieron los primeros fallos judiciales. “Hay una evolución importante, desde que se incorporó la doble introducción del factor de autenticación las sentencias de las Audiencias Provinciales y del Supremo obligan a los bancos a actualizar sus medidas de seguridad. Y realmente en muchas entidades financieras ha mejorado”.
Desde su punto de vista, el papel de los jueces está siendo clave en este cambio de tendencia, “muchos de ellos son sensibles a esta realidad y son conscientes que el consumidor es la parte más débil de esta relación. Los bancos nos instalan su modelo de banca electrónica que conlleva riesgos y no puede ser un coladero de fraudes. Deben ofrecer un sistema de banca seguro”.
Luis Rubí Blanc, destaca que la sentencia del Supremo “envía un mensaje inequívoco al sector financiero: “la seguridad digital no es un accesorio, sino un elemento estructural del servicio bancario”. (Imagen ardiCiber)
Una sentencia relevante
Por Luis Rubí Blanc, abogado y socio en ArdiCiber, la sentencia del Tribunal Supremo 571/2025, de 9 de abril, marca un antes y un después en la responsabilidad de las entidades financieras frente a las ciberestafas. No es una evolución, ni un matiz según el abogado Luis Rubí Blanc; “hablamos ya de un cambio estructural en la forma en que la banca debe entender su obligación de diligencia en los servicios de pago digitales.
El Alto Tribunal ha puesto fin a años de controversia y ha confirmado, con autoridad definitiva, lo que 34 Audiencias Provinciales venían declarando de forma prácticamente unánime como afirman desde ardiciber, Rubi Blnac: “cuando una operación no ha sido autorizada por el usuario, la entidad debe reintegrar de inmediato las cantidades sustraídas, salvo que demuestre —con prueba suficiente— fraude, incumplimiento deliberado o negligencia grave del cliente”.
Este pronunciamiento, nacido de un caso paradigmático de SIM Swapping, desmonta los argumentos defensivos que la banca ha utilizado de manera sistemática. El abogado desnuda a las entidades bancarias tras la aplicación de la sentencia; “Ninguna de las estrategias como la existencia de doble factor de autenticación, la supuesta negligencia del usuario o las cláusulas contractuales predispuestas pueden trasladar al cliente ya la responsabilidad que descansa en la seguridad que presenta el sistema. El Supremo es claro al afirmar que ninguna de estas estrategias exime a la entidad de su deber legal de proteger al usuario”.
La sentencia introduce un concepto clave como es la “deficiencia del servicio”. Desde ardiCiber a la vista de los casos que les van llegando tras la publicación de la sentencia lo tienen muy claro,” no se limita al fallo técnico, sino que abarca cualquier insuficiencia en la diligencia exigible al proveedor del servicio de pago. Esto incluye la falta de sistemas de monitorización capaces de detectar patrones de fraude conocidos, secuencias de operaciones incompatibles con el perfil del cliente, movimientos en horarios atípicos o transferencias repetidas en intervalos breves”.
La banca ya no puede alegar que no dispone de recursos humanos para vigilar cada transacción. El Supremo recuerda que la tecnología actual permite —y exige— sistemas automáticos de detección de anomalías, y que su ausencia constituye una deficiencia del servicio que activa la responsabilidad de la entidad.
Desde una perspectiva económica, la doctrina es impecable a juicio de Rubi Blanc; “quien obtiene el beneficio de la digitalización debe asumir también el riesgo operativo asociado a ella. La teoría del riesgo de la actividad, aplicada por numerosas Audiencias Provinciales, encuentra ahora su refrendo definitivo. La banca ha impulsado la migración masiva hacia canales digitales por razones de eficiencia y reducción de costes. Por ello debe garantizar que dichos canales sean seguros y que los clientes no queden expuestos a vulnerabilidades que ellos no están en condiciones de controlar”.
Cinco años para reclamar
Además, Rubí Blanc recuerda un aspecto fundamental que muchos usuarios desconocen: “las víctimas de ciberestafas disponen de un plazo de hasta cinco años desde la consumación del fraude para reclamar. No es un privilegio: es un derecho legal plenamente vigente. Por ello, el abogado lanza un mensaje claro: “Hay que reclamar. Es un derecho del consumidor y es la única vía para corregir un sistema que durante demasiado tiempo ha permitido que la víctima cargara con el coste del fraude. Hoy, con la doctrina del Supremo y la aplicación inmediata de las Audiencias Provinciales, el marco jurídico está de nuestro lado y es lo que defendemos en ardiCiber”.
La sentencia del Supremo envía un mensaje inequívoco al sector financiero: “la seguridad digital no es un accesorio, sino un elemento estructural del servicio bancario”.
Para los consumidores, esta doctrina supone una protección reforzada. Para el sector financiero, implica la necesidad de revisar sus sistemas, sus contratos y sus procedimientos. Para quienes trabajamos en el ámbito de la seguridad jurídica, confirma algo que venimos defendiendo desde hace años; “la lucha contra el fraude digital no puede recaer sobre la víctima, sino sobre quien presta el servicio y obtiene el beneficio económico de su utilización”.
A juicio de Luis Rubi Blanc, la sentencia obliga a la banca a situar la seguridad digital en el centro de su actividad, donde siempre debió estar. Las audiencias provinciales se encargan de recordarlo con sus sentencias en cascada que van viendo la luz.
