El phishing sigue creciendo y los tribunales aclaran quién debe asumir las pérdidas
Las estafas mediante phishing bancario se han convertido en una de las formas de ciberdelincuencia más frecuentes en España. Correos electrónicos, mensajes SMS o llamadas telefónicas que aparentan proceder de una entidad financiera consiguen cada vez con mayor facilidad que los usuarios revelen sus credenciales o autoricen operaciones creyendo que están hablando con su banco.
En este contexto, los tribunales españoles están consolidando una línea jurisprudencial especialmente relevante para los consumidores.
Recientemente, varios juzgados gallegos han condenado a dos entidades financieras a devolver más de 20.000 euros a tres clientes que fueron víctimas de distintas estafas de phishing, al considerar que no quedó acreditada una actuación gravemente negligente por parte de los afectados. Las resoluciones todavía podían ser recurridas en el momento de publicarse la noticia, por lo que no todas eran firmes.
Estas decisiones judiciales se apoyan en la normativa vigente sobre servicios de pago y confirman una tendencia cada vez más clara: la carga de demostrar la negligencia grave del cliente corresponde, en principio, a la entidad financiera.
Desde Materializa Abogados analizamos qué supone esta evolución jurisprudencial y cómo puede afectar a particulares y empresas.
¿Qué ocurrió en los casos analizados?
Las resoluciones afectan a tres clientes que sufrieron distintas modalidades de phishing.
En uno de los casos, los delincuentes consiguieron acceder a la banca electrónica de una menor tras obtener fraudulentamente sus credenciales.
En otro supuesto, los estafadores se hicieron pasar por técnicos de Microsoft para convencer a la víctima de que existía un problema de seguridad en su ordenador, logrando finalmente acceder a sus datos bancarios.
Un tercer procedimiento terminó con la condena de otra entidad financiera a devolver cerca de 14.650 euros a un cliente víctima del fraude.
En todos ellos, los juzgados entendieron que existían operaciones de pago no autorizadas y que las entidades no habían conseguido acreditar que el comportamiento de los clientes constituyera una negligencia grave, requisito indispensable para exonerarse de responsabilidad conforme a la normativa aplicable.
¿Qué dice la legislación sobre el phishing bancario?
La respuesta no depende únicamente de la jurisprudencia.
En España, la regulación de los servicios de pago incorpora la Directiva (UE) 2015/2366 (PSD2) mediante el Real Decreto-ley 19/2018, de servicios de pago y otras medidas urgentes en materia financiera.
Esta normativa establece un principio esencial:
Cuando un cliente comunica una operación de pago no autorizada, la entidad debe devolver el importe inmediatamente, salvo que pueda demostrar que el usuario actuó fraudulentamente o incurrió en negligencia grave en el cumplimiento de sus obligaciones de seguridad.
Esto significa que el simple hecho de que un tercero haya utilizado correctamente las credenciales del cliente no implica automáticamente que este sea responsable.
La carga de la prueba corresponde al banco
Uno de los aspectos más importantes que están recordando los tribunales es que corresponde a la entidad financiera acreditar que:
- la operación fue correctamente autenticada;
- sus sistemas funcionaban adecuadamente;
- y, además, que el cliente actuó con negligencia grave.
No basta con afirmar que el usuario introdujo voluntariamente sus claves.
La entidad debe demostrar que ese comportamiento supera un simple descuido y constituye una infracción especialmente grave de las obligaciones de seguridad previstas legalmente.
Esta interpretación ya venía siendo mantenida por diversas Audiencias Provinciales y ha sido reforzada posteriormente por el Tribunal Supremo, que ha señalado que el acceso de un tercero a las credenciales del cliente no implica por sí solo la existencia de negligencia grave.
¿Qué se considera realmente negligencia grave?
Esta es probablemente la cuestión que genera más dudas.
No existe una lista cerrada de conductas que siempre constituyan negligencia grave.
Cada caso debe analizarse individualmente.
Los tribunales valoran aspectos como:
- la sofisticación del fraude;
- la apariencia de autenticidad del mensaje recibido;
- la rapidez con la que actuó el cliente;
- las medidas de seguridad implantadas por el banco;
- la existencia de operaciones claramente inusuales.
Por el contrario, cuando el fraude utiliza técnicas especialmente elaboradas —como SMS integrados en conversaciones reales del banco, páginas prácticamente idénticas a las oficiales o llamadas altamente convincentes— resulta mucho más difícil considerar que el consumidor actuó con una negligencia suficientemente grave como para perder su derecho al reembolso.
¿Qué implica esta jurisprudencia para empresas y particulares?
Las consecuencias son importantes.
Muchas personas desisten de reclamar porque consideran que, al haber facilitado algún dato durante el engaño, han perdido automáticamente cualquier posibilidad de recuperar su dinero.
Sin embargo, la realidad jurídica es mucho más compleja.
La normativa protege al usuario frente a operaciones no autorizadas y exige que la entidad financiera adopte mecanismos eficaces para detectar movimientos anómalos, verificar correctamente las operaciones y prevenir fraudes informáticos.
Por ello, cada reclamación debe estudiarse de forma individual, valorando tanto la actuación del cliente como las medidas de seguridad implementadas por el banco.
¿Qué debe hacer una víctima de phishing?
La rapidez resulta fundamental.
Si sospechas que has sido víctima de una estafa, es recomendable:
- bloquear inmediatamente las tarjetas y el acceso a la banca electrónica;
- comunicar el fraude a la entidad financiera;
- presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad;
- conservar mensajes, correos electrónicos y cualquier prueba relacionada;
- solicitar asesoramiento jurídico cuanto antes.
Una actuación diligente desde el primer momento puede resultar determinante durante una eventual reclamación judicial.
¿Pueden todas las víctimas recuperar el dinero?
No necesariamente.
Cada procedimiento depende de sus circunstancias concretas.
Habrá supuestos en los que los tribunales aprecien una negligencia grave del usuario y otros en los que entiendan que el banco incumplió sus obligaciones de seguridad.
Precisamente por ello resulta esencial realizar un análisis jurídico individualizado antes de asumir que la reclamación carece de posibilidades de éxito.
¿Cómo puede ayudarte Materializa Abogados?
En Materializa Abogados estudiamos cada caso de fraude bancario desde una perspectiva jurídica y probatoria.
Analizamos:
- la documentación bancaria;
- las operaciones realizadas;
- la actuación de la entidad;
- las medidas de autenticación utilizadas;
- la posible existencia de negligencia grave;
- y la viabilidad de una reclamación extrajudicial o judicial.
Cada vez son más las resoluciones que reconocen los derechos de los consumidores cuando las entidades financieras no consiguen demostrar que el cliente actuó con una conducta gravemente negligente.
Por ello, antes de renunciar a recuperar el dinero perdido, conviene conocer cuáles son realmente los derechos que reconoce la legislación vigente.
Apartado práctico
Si has sido víctima de phishing, estos son los primeros pasos que recomendamos:
- Contacta inmediatamente con tu banco y solicita el bloqueo de la cuenta o de los medios de pago afectados.
- Presenta una denuncia ante la Policía Nacional o la Guardia Civil.
- Guarda capturas de pantalla, SMS, correos electrónicos y cualquier comunicación relacionada con el fraude.
- Solicita por escrito al banco el reintegro de las operaciones que no hayas autorizado.
- Si la entidad rechaza la devolución o considera que actuaste con negligencia grave, busca asesoramiento jurídico para valorar una posible reclamación.
En Materializa Abogados podemos analizar tu caso, revisar la actuación de la entidad financiera y ayudarte a defender tus derechos frente a un fraude de phishing, tanto en vía extrajudicial como ante los tribunales.
