Para comenzar recordaremos que el phishing es una t\u00e9cnica de suplantaci\u00f3n de identidad mediante la cual los ciberdelincuentes se hacen pasar por bancos, instituciones o empresas conocidas (como correos, redes sociales o servicios de mensajer\u00eda) para robar datos personales, credenciales o dinero.<\/p>\n\n\n\n
El phishing se ha convertido en una de las formas m\u00e1s frecuentes de ciberdelincuencia que afectan a los consumidores espa\u00f1oles. Las t\u00e9cnicas empleadas por los delincuentes son cada vez m\u00e1s sofisticadas y utilizan mecanismos de ingenier\u00eda social capaces de enga\u00f1ar incluso a usuarios experimentados. Correos electr\u00f3nicos aparentemente leg\u00edtimos, mensajes SMS que simulan proceder del banco (smishing) o llamadas telef\u00f3nicas fraudulentas (vishing) forman parte ya de una realidad cotidiana.<\/p>\n\n\n\n
Ya conozco varios casos de amigos que han recibido llamadas tel\u00e9fonicas sobre operaciones bancarias y que incluso han ca\u00eddo en la trampa. No solo enlaces, mensajes en el m\u00f3vil tambi\u00e9n llamadas que te invitan a realizar operaciones por seguridad pero que en realidad tienen por finalidad la cooperaci\u00f3n necesaria del titular de la cuenta para la ejecuci\u00f3n del fraude.<\/p>\n\n\n\n
Estas pr\u00e1cticas han sido denunciadas en los tribunales pero hasta la STJUE de 15 de octubre de 2026 era el cliente quien tras varias quejas deb\u00eda interponer denuncia o demanda. En definitiva la v\u00edctima era sospechosa<\/strong> cuanto menos de negligencia.<\/p>\n\n\n\n Durante a\u00f1os, las v\u00edctimas de fraudes bancarios mediante phishing se han encontrado con una respuesta recurrente por parte de muchas entidades financieras: la negativa a devolver los fondos sustra\u00eddos bajo el argumento de que el propio cliente hab\u00eda actuado con negligencia al facilitar sus claves o credenciales de acceso.<\/p>\n\n\n\n La Sentencia del Tribunal de Justicia de la Uni\u00f3n Europea (TJUE), Sala Primera, de 15 de octubre de 2026, asunto C\u201170\/25 (Tukowiecka)<\/strong>, supone un importante punto de inflexi\u00f3n en esta materia. El Tribunal establece una doctrina clara: el banco est\u00e1 obligado a reembolsar inmediatamente el importe de una operaci\u00f3n de pago no autorizada, incluso cuando considere que el cliente ha incurrido en negligencia grave.<\/p>\n\n\n\n La cuesti\u00f3n de qui\u00e9n debe soportar definitivamente la p\u00e9rdida econ\u00f3mica se examinar\u00e1 despu\u00e9s y por los cauces jur\u00eddicos correspondientes.<\/p>\n\n\n\n El litigio, que da origen a la sentencia, tiene su origen en Polonia. Una usuaria que vend\u00eda un art\u00edculo a trav\u00e9s de una plataforma de compraventa recibi\u00f3 un enlace fraudulento enviado por un supuesto comprador. El enlace conduc\u00eda a una p\u00e1gina que imitaba la web de su entidad bancaria. Tras introducir sus credenciales y facilitar posteriormente un c\u00f3digo de autenticaci\u00f3n obtenido mediante enga\u00f1o, un tercero transfiri\u00f3 aproximadamente 700 euros desde su cuenta.<\/p>\n\n\n\n Al d\u00eda siguiente, la cliente comunic\u00f3 el fraude al banco. Sin embargo, la entidad rechaz\u00f3 el reembolso alegando que la usuaria hab\u00eda incumplido su deber de custodia de los elementos de seguridad personalizados.<\/p>\n\n\n\n El \u00f3rgano jurisdiccional polaco plante\u00f3 entonces una cuesti\u00f3n prejudicial relativa a la interpretaci\u00f3n de la Directiva (UE) 2015\/2366, conocida como PSD2 (Payment Services Directive 2) o Segunda Directiva de Servicios de Pago, que regula los servicios de pago en la Uni\u00f3n Europea.<\/p>\n\n\n\n La pregunta era sencilla, pero de enorme trascendencia pr\u00e1ctica:<\/p>\n\n\n\n \u00bfPuede una entidad bancaria negarse a devolver inmediatamente el importe de una operaci\u00f3n no autorizada alegando que el cliente actu\u00f3 con negligencia grave?<\/p>\n\n\n\n Preguntaba si los art\u00edculos 73.1 y 74.1 de la Directiva 2015\/2366 permiten que un proveedor de servicios de pago deniegue la devoluci\u00f3n inmediata al ordenante cuando estime que \u00e9ste, por negligencia grave, facilit\u00f3 la operaci\u00f3n. La respuesta del TJUE es rotunda: no.<\/p>\n\n\n\n La doctrina del TJUE: se resume en primero se devuelve, despu\u00e9s se discute<\/p>\n\n\n\n El Tribunal diferencia claramente dos planos jur\u00eddicos que hasta ahora muchas entidades trataban conjuntamente:<\/p>\n\n\n\n 1. La obligaci\u00f3n de reembolso inmediato<\/p>\n\n\n\n Cuando una operaci\u00f3n de pago es considerada no autorizada, la entidad financiera debe restituir el importe sin demora injustificada y, en todo caso, antes de finalizar el d\u00eda h\u00e1bil siguiente a la notificaci\u00f3n o detecci\u00f3n del fraude.<\/p>\n\n\n\n 2. La atribuci\u00f3n definitiva de la p\u00e9rdida<\/p>\n\n\n\n Otra cuesti\u00f3n distinta es determinar qui\u00e9n debe soportar finalmente el perjuicio econ\u00f3mico.<\/p>\n\n\n\n El TJUE entiende que la eventual negligencia grave del usuario puede ser relevante para la distribuci\u00f3n final de las p\u00e9rdidas, pero no autoriza al banco a retener el reembolso inicial. Si la entidad considera que el cliente incumpli\u00f3 gravemente sus obligaciones de seguridad, deber\u00e1 demostrarlo posteriormente y, en su caso, ejercitar las acciones correspondientes para recuperar las cantidades abonadas.<\/p>\n\n\n\n Todo ello con una excepci\u00f3n, esto es, cuando la entidad financiera tenga motivos razonables para sospechar que el propio cliente ha cometido un fraude; y cuando dicha sospecha haya sido comunicada a la autoridad competente.<\/p>\n\n\n\n Fuera de este supuesto excepcional, el reembolso debe efectuarse de forma inmediata.<\/p>\n\n\n\n Espa\u00f1a figura desde hace a\u00f1os entre los pa\u00edses europeos m\u00e1s afectados por delitos inform\u00e1ticos relacionados con la obtenci\u00f3n fraudulenta de credenciales bancarias. La creciente digitalizaci\u00f3n de los servicios financieros ha multiplicado los riesgos para los consumidores.<\/p>\n\n\n\n El esquema suele repetirse: el delincuente suplanta la identidad de una entidad bancaria, empresa de mensajer\u00eda, administraci\u00f3n p\u00fablica o plataforma de compraventa. La v\u00edctima recibe un mensaje que genera una sensaci\u00f3n de urgencia. Se le dirige a una p\u00e1gina web falsa pr\u00e1cticamente id\u00e9ntica a la aut\u00e9ntica. Introduce sus claves o c\u00f3digos de seguridad. Los ciberdelincuentes realizan transferencias o pagos no autorizados.<\/p>\n\n\n\n La sofisticaci\u00f3n actual de estos ataques hace que la frontera entre un error del usuario y una actuaci\u00f3n razonablemente diligente resulte cada vez m\u00e1s dif\u00edcil de determinar.<\/p>\n\n\n\n Nos interesa destacar como impacta esta doctrina en el Derecho espa\u00f1ol ya que tendr\u00e1 una influencia directa en la interpretaci\u00f3n de: el Real Decreto-ley 19\/2018<\/strong>, de servicios de pago; la normativa de transposici\u00f3n de la PSD2; la jurisprudencia relativa a fraudes bancarios por phishing, smishing y vishing.<\/p>\n\n\n\n La responsabilidad derivada de estas operaciones se encuentra regulada principalmente en el Real Decreto-ley 19\/2018, de servicios de pago. La norma distingue entre:<\/p>\n\n\n\n operaciones autorizadas por el usuario;<\/p>\n\n\n\n operaciones no autorizadas;<\/p>\n\n\n\n supuestos de fraude o negligencia grave del cliente.<\/p>\n\n\n\n Hasta ahora, muchas entidades financieras interpretaban que la mera introducci\u00f3n de claves en una p\u00e1gina fraudulenta constitu\u00eda negligencia grave suficiente para rechazar directamente el reembolso.<\/p>\n\n\n\n Ello gener\u00f3 una intensa litigiosidad ante Juzgados y Audiencias Provinciales, con resoluciones frecuentemente contradictorias. Numerosos litigios giran precisamente en torno a la alegaci\u00f3n bancaria de \u00abnegligencia grave\u00bb del usuario. La sentencia del TJUE obliga a replantear estrategias procesales que hasta ahora trasladaban al consumidor la carga y el coste temporal de reclamar judicialmente la devoluci\u00f3n de los fondos sustra\u00eddos.<\/p>\n\n\n\n A partir de esta resoluci\u00f3n, la carga operativa inicial recae sobre la entidad financiera, que deber\u00e1 devolver el dinero y, si considera acreditada la negligencia grave del cliente, acudir posteriormente a los tribunales.<\/p>\n\n\n\n De este modo se refuerza el principio de protecci\u00f3n del usuario de servicios financieros y se clarifica la interpretaci\u00f3n de los art\u00edculos 73 y 74 de la PSD2. Adem\u00e1s evita que los consumidores soporten durante meses o a\u00f1os el perjuicio econ\u00f3mico mientras se discute la responsabilidad.<\/p>\n\n\n\n Desde el punto de vista procesal obliga a distinguir entre el derecho al reembolso inmediato y la eventual responsabilidad final del usuario y se favorece una aplicaci\u00f3n uniforme del Derecho de la Uni\u00f3n en todos los Estados miembros.<\/p>\n\n\n\n La doctrina del TJUE influir\u00e1 directamente en los tribunales espa\u00f1oles y previsiblemente reforzar\u00e1 una tendencia ya observable en numerosas resoluciones judiciales:<\/p>\n\n\n\n 1.- Exigencia de prueba rigurosa de la negligencia grave.<\/p>\n\n\n\n 2.- Interpretaci\u00f3n restrictiva de dicha negligencia.<\/p>\n\n\n\n 3.- Protecci\u00f3n reforzada del consumidor financiero.<\/p>\n\n\n\n 4.- An\u00e1lisis de las medidas de seguridad implementadas por la propia entidad bancaria.<\/p>\n\n\n\n Los tribunales deber\u00e1n valorar no solo la conducta del cliente sino tambi\u00e9n si el banco implement\u00f3 mecanismos eficaces de autenticaci\u00f3n reforzada, sistemas de detecci\u00f3n de fraude y alertas adecuadas.<\/p>\n\n\n\n Esto traer\u00e1 consecuencias pr\u00e1cticas para los consumidores ya que los usuarios afectados por phishing disponen de una posici\u00f3n jur\u00eddica m\u00e1s s\u00f3lida.<\/p>\n\n\n\n Ante una transferencia fraudulenta conviene:<\/p>\n\n\n\n 1.- Comunicar inmediatamente la incidencia al banco.<\/p>\n\n\n\n 2.- Formular denuncia ante Polic\u00eda Nacional o Guardia Civil.<\/p>\n\n\n\n 3.- Conservar capturas de pantalla, mensajes y correos recibidos.<\/p>\n\n\n\n 4.- Solicitar formalmente el reembolso de la operaci\u00f3n no autorizada.<\/p>\n\n\n\n 5.- Reclamar ante el Servicio de Atenci\u00f3n al Cliente de la entidad y, en su caso, ante el Banco de Espa\u00f1a.<\/p>\n\n\n\n La existencia de un enga\u00f1o sofisticado o de t\u00e9cnicas avanzadas de ingenier\u00eda social puede resultar especialmente relevante en la valoraci\u00f3n posterior de una eventual negligencia grave.<\/p>\n\n\n\n En definitiva la STJUE de 15 de octubre de 2026 no convierte al banco en responsable autom\u00e1tico de todos los fraudes de phishing. Lo que hace es algo m\u00e1s sutil, pero jur\u00eddicamente trascendente: reordenar la secuencia de responsabilidades.<\/strong><\/p>\n\n\n\n La v\u00edctima de una operaci\u00f3n no autorizada deja de verse obligada a demostrar desde el primer momento que actu\u00f3 diligentemente para recuperar su dinero. El banco debe restituir los fondos y, solo despu\u00e9s, si considera que existi\u00f3 negligencia grave, ser\u00e1 \u00e9l quien deba acreditar esa circunstancia.<\/p>\n\n\n\n En una \u00e9poca en la que las t\u00e9cnicas de ingenier\u00eda social son cada vez m\u00e1s complejas y dif\u00edcilmente distinguibles por usuarios medios, esta sentencia constituye un importante avance en la protecci\u00f3n efectiva de los consumidores y redefine el equilibrio entre seguridad bancaria y responsabilidad del usuario.<\/p>\n\n\n\n