Responsabilidad del banco en caso de phishing: qué dice la Ley de Servicios de Pago y cuándo puedes reclamar
El pánico inicial al descubrir que han retirado dinero de tu cuenta mediante un ataque de phishing o smishing suele ir acompañado de una pregunta fundamental: ¿quién debe asumir la pérdida económica?
En ocasiones, las entidades financieras rechazan las reclamaciones alegando que la operación se realizó con las credenciales del cliente, que este facilitó un código de seguridad o que actuó con negligencia grave. Sin embargo, estas circunstancias no resuelven por sí solas quién debe soportar las pérdidas.
La responsabilidad de las entidades financieras ante las operaciones de pago no autorizadas está regulada, principalmente, por el Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago, que incorpora al ordenamiento español el régimen europeo de servicios de pago.
Esta normativa establece obligaciones específicas de devolución y reglas sobre la prueba de la autenticación y la responsabilidad del usuario. Además, la sentencia del Tribunal de Justicia de la Unión Europea (TJUE) de 15 de octubre de 2026, asunto C-70/25, Tukowiecka, ha aclarado una cuestión especialmente relevante: la alegación de negligencia grave del cliente no permite, por sí sola, rechazar inicialmente la devolución de una operación de pago no autorizada.
Conocer estas reglas es fundamental para entender cuándo puede existir una base jurídica para reclamar y qué aspectos deben analizarse antes de dar por perdido el dinero.
1. Operaciones no autorizadas: qué obligaciones tiene el banco
La responsabilidad de las entidades financieras en caso de fraude debe analizarse conforme a la normativa aplicable a los servicios de pago. En particular, los artículos 44, 45 y 46 del Real Decreto-ley 19/2018 regulan la prueba de la autenticación y ejecución de las operaciones, la obligación de devolución y los supuestos en los que el usuario puede tener que soportar las pérdidas.
¿Cuándo se considera que una operación no está autorizada?
El artículo 36 del Real Decreto-ley 19/2018 establece que una operación de pago se considera autorizada cuando el ordenante ha dado su consentimiento para ejecutarla. Si falta ese consentimiento, la operación se considera no autorizada.
Esta distinción es esencial en los casos de phishing.
Por ejemplo, si un delincuente obtiene las credenciales de una víctima mediante una página web fraudulenta y utiliza esos datos para realizar una transferencia que la víctima no ha consentido, puede existir una operación de pago no autorizada.
Sin embargo, la situación puede ser diferente si la propia víctima ordena una transferencia a una cuenta indicada por el estafador, creyendo que está enviando su dinero a una cuenta segura o realizando una inversión legítima.
En ambos supuestos puede existir una estafa, pero la calificación jurídica de la operación y las posibles vías de reclamación no son necesariamente las mismas.
¿Qué establece el artículo 45 sobre la devolución?
El artículo 45 establece, como regla general, que cuando se ejecuta una operación de pago no autorizada, el proveedor de servicios de pago del ordenante debe devolver su importe inmediatamente y, como máximo, al final del día hábil siguiente a aquel en que haya observado o se le haya notificado la operación.
La norma contempla una excepción cuando el proveedor tenga motivos razonables para sospechar la existencia de fraude cometido por el propio usuario y comunique esos motivos por escrito al Banco de España en los términos legalmente previstos.
Por tanto, la devolución inmediata no debe confundirse con una garantía de reembolso para cualquier pérdida derivada de una estafa. Es necesario determinar si la operación fue no autorizada y si concurren los presupuestos legales para exigir la devolución.
Fuente oficial: Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago — BOE.
2. La negligencia grave: ¿puede el banco negarse a devolver el dinero?
Una de las razones que las entidades financieras pueden invocar para rechazar una reclamación es que el cliente actuó con negligencia grave al facilitar sus credenciales, introducir un código de verificación o seguir las instrucciones de un supuesto empleado del banco.
Sin embargo, es necesario distinguir dos cuestiones jurídicas:
- La obligación inicial de devolver el importe de una operación no autorizada.
- La eventual responsabilidad posterior del usuario por las pérdidas derivadas de un incumplimiento deliberado o por negligencia grave de sus obligaciones.
Esta distinción resulta especialmente importante a la luz de la reciente jurisprudencia europea.
¿Qué significa negligencia grave?
La negligencia grave no debe confundirse automáticamente con cualquier error cometido durante una estafa.
Su valoración exige examinar las circunstancias concretas del caso, las obligaciones que correspondían al usuario y la conducta que se le atribuye. No basta con afirmar que la víctima facilitó un código o utilizó sus credenciales para concluir, sin más, que actuó con negligencia grave.
En los fraudes de ingeniería social, los delincuentes pueden suplantar la identidad de una entidad bancaria, reproducir sus canales de comunicación y generar una situación de urgencia para conseguir que la víctima actúe creyendo que está protegiendo sus ahorros.
Por ello, es importante analizar qué información recibió la persona afectada, qué operación creyó estar realizando y qué advertencias aparecieron durante el proceso.
¿El spoofing o una página web clonada excluyen la negligencia grave?
No existe una regla general que permita afirmar que el spoofing, una página web clonada o una llamada fraudulenta excluyen automáticamente la negligencia grave.
Estas circunstancias pueden ser relevantes para reconstruir el engaño y valorar la conducta de la víctima, pero su significado jurídico depende de los hechos y de las pruebas disponibles.
| Circunstancia | Qué debe analizarse |
|---|---|
| SMS suplantado mediante spoofing | La apariencia del mensaje, su contenido y el contexto en el que se recibió. |
| Página web que imita la del banco | Cómo se produjo el engaño y qué información solicitó la página. |
| Facilitación de códigos de autenticación | Qué explicación recibió la víctima y qué operación creía estar validando. |
| Entrega de credenciales sin un engaño aparente | Las circunstancias de la entrega y el posible incumplimiento de las obligaciones del usuario. |
La valoración debe realizarse individualmente, sin presumir que cualquier víctima actuó negligentemente ni que toda técnica de suplantación excluye esa posibilidad.
3. La sentencia del TJUE de 15 de octubre de 2026: un precedente relevante
El 15 de octubre de 2026, el Tribunal de Justicia de la Unión Europea dictó sentencia en el asunto C-70/25, Tukowiecka, relativo a la interpretación de la Directiva (UE) 2015/2366, conocida como PSD2, sobre servicios de pago.
El asunto se originó cuando una clienta de un banco polaco fue víctima de phishing. Un tercero fingió estar interesado en comprar un objeto que la víctima anunciaba en una plataforma de venta por internet y le envió un enlace fraudulento. La víctima accedió a una página que imitaba la de su banco e introdujo sus credenciales de banca electrónica. Posteriormente, un tercero utilizó esos datos para transferir dinero desde su cuenta.
La entidad rechazó devolver el importe al considerar que la clienta había actuado con negligencia grave.
El tribunal nacional planteó una cuestión prejudicial al TJUE para aclarar si el banco podía negarse a efectuar el reembolso inmediato por ese motivo.
¿Qué resolvió el Tribunal de Justicia?
El TJUE aclaró que la negligencia grave del usuario no exime al proveedor de servicios de pago de su obligación inicial de devolver el importe de una operación no autorizada.
La sentencia distingue entre el reembolso inmediato previsto por la normativa y la eventual responsabilidad posterior del cliente.
En consecuencia, cuando concurren los presupuestos legales para considerar una operación no autorizada, la entidad no puede rechazar inicialmente la devolución por el mero hecho de alegar negligencia grave del usuario.
Una vez efectuada la devolución, el proveedor puede reclamar al cliente las pérdidas derivadas de su negligencia grave cuando concurran los presupuestos legales correspondientes. La entidad debe acreditar dicha conducta conforme al régimen aplicable.
La resolución también debe interpretarse teniendo en cuenta la excepción legal relativa a los motivos razonables para sospechar fraude cometido por el propio usuario y su comunicación al Banco de España.
¿Qué importancia tiene esta sentencia para las víctimas en España?
La sentencia interpreta el régimen europeo de servicios de pago y resulta relevante para la aplicación de las disposiciones nacionales que lo incorporan, incluido el Real Decreto-ley 19/2018.
Por ello, puede ser especialmente importante cuando una entidad rechaza inicialmente la devolución de una operación no autorizada alegando que el cliente facilitó sus credenciales o incurrió en negligencia grave.
No obstante, el alcance de la sentencia tiene límites. No establece que todos los fraudes bancarios deban reembolsarse automáticamente, ni resuelve de forma general todos los supuestos en los que una víctima ordena personalmente una transferencia después de ser engañada.
La naturaleza de la operación, las circunstancias del caso y las pruebas disponibles siguen siendo determinantes.
Fuente oficial: TJUE, asunto C-70/25, Tukowiecka, sentencia de 15 de octubre de 2026.
4. La carga de la prueba: qué debe acreditar la entidad bancaria
El artículo 44 del Real Decreto-ley 19/2018 establece reglas específicas sobre la prueba de la autenticación y ejecución de las operaciones de pago.
Cuando el usuario niega haber autorizado una operación o alega que se ejecutó incorrectamente, corresponde al proveedor de servicios de pago demostrar que la operación fue autenticada, registrada con exactitud y contabilizada, y que no estuvo afectada por un fallo técnico u otra deficiencia del servicio.
Además, el registro de la utilización del instrumento de pago no basta necesariamente para demostrar que la operación fue autorizada por el ordenante ni que este actuó fraudulentamente o incumplió deliberadamente o por negligencia grave sus obligaciones.
Esto significa que la utilización de credenciales válidas o de un código de autenticación no resuelve por sí sola todas las cuestiones jurídicas del caso.
Es necesario distinguir entre:
- La autenticación técnica de la operación.
- El consentimiento del usuario para ejecutar esa operación.
- La posible existencia de fraude o negligencia grave.
- Las obligaciones que correspondían a la entidad y al usuario conforme a la normativa aplicable.
Para valorar una reclamación pueden resultar relevantes los registros de autenticación, las comunicaciones recibidas, la secuencia de las operaciones y la documentación que permita reconstruir cómo se produjo el fraude.
No debe afirmarse que el banco tiene que demostrar que sus sistemas funcionaron de manera infalible. Lo que debe acreditarse es aquello que establece la normativa aplicable, atendiendo a las circunstancias concretas de la operación.
5. ¿Qué ocurre si la víctima realizó personalmente la transferencia?
El phishing y otras técnicas de ingeniería social también pueden utilizarse para convencer a una persona de que ordene una transferencia creyendo que está protegiendo su cuenta o realizando una inversión legítima.
En estos casos, es fundamental distinguir entre una operación ejecutada sin el consentimiento del titular y una transferencia ordenada personalmente por la víctima como consecuencia del engaño.
Que una persona haya sido víctima de una estafa no convierte automáticamente la transferencia que ordenó en una operación no autorizada a efectos del régimen de servicios de pago.
Esto tampoco significa que la víctima carezca necesariamente de alternativas. Puede ser necesario examinar las circunstancias de la operación, la información proporcionada, las advertencias mostradas durante el proceso, la intervención de otras entidades y los posibles fundamentos jurídicos de una reclamación.
La responsabilidad del banco no debe presumirse por el mero hecho de que el dinero haya terminado en una cuenta utilizada por delincuentes. Del mismo modo, tampoco debe descartarse cualquier posibilidad de actuación sin estudiar los hechos.
6. Cuando el phishing es la antesala de una estafa de inversión
En ocasiones, la suplantación bancaria y otras técnicas de ingeniería social se utilizan para captar información personal, generar confianza y conducir a la víctima hacia una falsa plataforma de inversión.
Los delincuentes pueden presentarse como asesores financieros, supuestos empleados de una entidad o intermediarios que prometen rentabilidades elevadas. La víctima acaba transfiriendo dinero a cuentas vinculadas a una plataforma fraudulenta, creyendo que está realizando una inversión legítima.
En estas situaciones deben diferenciarse las operaciones bancarias realizadas para enviar los fondos de las pérdidas derivadas de la supuesta inversión.
Si la propia víctima ordenó las transferencias, no puede aplicarse automáticamente el régimen de devolución de operaciones no autorizadas. Será necesario estudiar las circunstancias y las posibles vías de reclamación que puedan resultar aplicables.
También puede ser importante reconstruir el recorrido de los fondos y determinar qué entidades intervinieron, sin presuponer que el dinero salió necesariamente del sistema de pagos europeo o que resulta imposible recuperarlo.
Si has sufrido una estafa de inversión, puedes consultar nuestra guía específica: ¿Te han estafado en un chiringuito financiero?.
7. Qué hacer si has sufrido phishing y el banco rechaza tu reclamación
Si has detectado operaciones sospechosas o no reconocidas en tu cuenta, conviene actuar cuanto antes y conservar toda la documentación relacionada con el fraude.
1. Comunica el fraude a tu banco.
Utiliza los canales oficiales de la entidad y solicita el bloqueo de los instrumentos de pago o credenciales que puedan estar comprometidos. Si se han realizado transferencias recientes, pide que se activen cuanto antes los procedimientos disponibles para intentar recuperar o bloquear los fondos, cuando sea posible.
2. Presenta una reclamación formal.
Identifica las operaciones cuestionadas, explica cuándo detectaste el fraude y solicita su revisión. Si consideras que se trata de operaciones no autorizadas, pide expresamente su devolución conforme al régimen de servicios de pago aplicable.
3. Conserva las pruebas.
Guarda los extractos bancarios, justificantes de las operaciones, mensajes, correos electrónicos, registros de llamadas y cualquier comunicación relacionada con el fraude.
Conserva también la reclamación presentada ante el banco y la respuesta que hayas recibido.
4. Valora denunciar los hechos.
La denuncia puede contribuir a documentar lo ocurrido y facilitar la investigación penal. Conserva el justificante y cualquier información que te proporcionen las autoridades. La denuncia no sustituye por sí sola a la reclamación bancaria.
5. Revisa los motivos de la negativa del banco.
Si la entidad rechaza el reembolso, identifica los argumentos concretos que utiliza. Puede ser necesario examinar la calificación de las operaciones, las pruebas aportadas y la normativa aplicable.
6. Infórmate sobre las vías de reclamación disponibles.
Según las circunstancias, puede ser posible acudir al servicio de atención al cliente de la entidad y, posteriormente, al procedimiento de reclamaciones del Banco de España cuando resulte procedente. También puede estudiarse la vía judicial si existen fundamentos jurídicos suficientes.
Es importante comprobar los requisitos, los plazos y los efectos de cada procedimiento antes de iniciar nuevas actuaciones.
8. ¿Puede ayudarte VICTIFIN a valorar una posible reclamación?
Si has perdido dinero mediante phishing, smishing, una llamada fraudulenta o una operación bancaria que no reconoces, es posible que tengas dudas sobre tus derechos y sobre los pasos que puedes dar.
Si, además, el banco se ha negado a devolverte el dinero, conviene revisar qué ocurrió, qué operaciones se realizaron y en qué argumentos se apoya la negativa.
En VICTIFIN trabajamos para dar visibilidad a los problemas que afrontan las víctimas de fraude financiero y facilitar que puedan identificar las cuestiones relevantes de su situación.
Puedes ponerte en contacto con la asociación para explicar de forma inicial lo ocurrido y consultar las posibilidades de valoración de tu caso.
Para facilitar esa primera orientación, puede resultar útil disponer de una cronología de los hechos, los justificantes de las operaciones, la reclamación presentada al banco y la respuesta recibida. No envíes contraseñas, códigos de autenticación ni credenciales bancarias.
La valoración inicial no garantiza que exista una acción viable ni implica la aceptación automática de un asunto para su eventual representación jurídica.
Que el banco haya rechazado tu reclamación no significa que debas renunciar a conocer tus opciones. Antes de dar el caso por cerrado, conviene comprobar qué ocurrió, qué pruebas existen y qué derechos pueden corresponderte.
También te puede interesar
- ¿Te han estafado en un chiringuito financiero?
- Sentencias judiciales a favor del cliente por phishing en 2026
Fuentes jurídicas
- Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago — BOE.
- TJUE, asunto C-70/25, Tukowiecka, sentencia de 15 de octubre de 2026 — CURIA.
- Banco de España: información para clientes bancarios.
Este artículo tiene finalidad informativa y divulgativa y no constituye asesoramiento jurídico individualizado. La viabilidad de una reclamación depende de las circunstancias del caso, la documentación disponible y la normativa aplicable.
