I. La nueva geografía del fraude bancario digital
El fraude bancario digital no es ya una desviación ocasional de la contratación bancaria, sino una consecuencia estructural de la desmaterialización de los servicios de pago. La cuenta corriente, la tarjeta, el teléfono móvil, la cartera digital y la aplicación bancaria forman hoy un mismo circuito de disposición patrimonial. En ese circuito, el delincuente no necesita forzar una caja fuerte ni interceptar físicamente una libreta, le basta con obtener credenciales, manipular una comunicación, inducir una confirmación, aprovechar la confianza del cliente en una pantalla o explotar la velocidad de una transferencia instantánea.
Las estadísticas oficiales españolas muestran la magnitud de este desplazamiento. El Balance de Criminalidad correspondiente al cuarto trimestre de 2025 recoge 430.493 estafas informáticas, que representan el 88,0 % de la cibercriminalidad y el 17,4 % del total de la criminalidad registrada. La cifra no describe solo un problema penal. Describe, sobre todo, un problema de distribución civil del riesgo y tras ello surge la pregunta obligada ¿Quién debe soportar la pérdida cuando el dinero sale de la cuenta del cliente a través de un entorno que el banco diseña, explota, monetiza y controla parcialmente, pero en el que el delincuente se sirve de la apariencia de legitimidad creada por la propia banca digital?
Durante años, la respuesta bancaria ha tendido a resumirse en una fórmula defensiva sencilla: si se introdujeron las claves, si se superó la autenticación reforzada y si el sistema registró la operación, la operación fue autorizada y el riesgo corresponde al cliente. Esa fórmula es jurídicamente insuficiente. Confunde autenticación con autorización, convierte la tenencia de credenciales en una presunción de consentimiento, rebaja el estándar profesional del proveedor a la diligencia ordinaria del usuario y olvida que la normativa de servicios de pago se construye precisamente para evitar que el consumidor o usuario soporten, sin más, el riesgo tecnológico de un servicio que no organizan.
La litigación reciente ha obligado a reordenar esas premisas. La Sala Primera del Tribunal Supremo, en la STS 571/2025, de 9 de abril, ha sistematizado el régimen aplicable a las operaciones no autorizadas y ha definido la responsabilidad del proveedor de servicios de pago como cuasi objetiva, en un doble sentido: el proveedor debe reintegrar de inmediato cuando el usuario comunica sin demora la operación no autorizada, salvo sospecha razonable de fraude comunicada al Banco de España. Y, si el usuario niega la autorización, corresponde al proveedor probar no solo la autenticación y el registro, sino también la ausencia de fallo técnico u otra deficiencia del servicio y, en su caso, el fraude o la negligencia grave del usuario.
A esa reconstrucción jurisprudencial se añade un cambio normativo decisivo en materia de transferencias. El Reglamento (UE) 2024/886 incorpora el artículo 5 quater al Reglamento (UE) n.º 260/2012 e impone un servicio gratuito de garantía de verificación del beneficiario antes de que el ordenante pueda autorizar la transferencia. En términos prácticos, la entidad debe verificar si el identificador de cuenta —normalmente el IBAN— se corresponde con el nombre o datos del beneficiario facilitados por el ordenante, advertir la discrepancia y asumir las consecuencias de su incumplimiento cuando tal incumplimiento dé lugar a una operación ejecutada defectuosamente.
Este trabajo parte de esa doble constatación. Primero, el fraude bancario digital exige desplazar el foco desde el relato tecnológico del banco hacia el régimen jurídico de la autorización, la prueba y la diligencia profesional. Segundo, la defensa del afectado no puede improvisarse y requiere reconstruir técnicamente el iter fraudulento, documentar la comunicación temprana, reclamar la devolución inmediata, pedir los registros que la entidad está obligada a conservar, identificar las anomalías transaccionales y combatir la imputación automática de negligencia grave.
II. Tipologías defraudatorias: del phishing artesanal al fraude autorizado por engaño
La utilidad de clasificar los fraudes no es puramente descriptiva. En litigio, la tipología condiciona el régimen de autorización, la prueba pericial, la relevancia de la autenticación reforzada, la posibilidad de recuperar fondos, la eventual responsabilidad de terceros y la fuerza de la alegación bancaria de negligencia grave. No es lo mismo un cargo con tarjeta no presente que una transferencia iniciada por el cliente bajo suplantación del proveedor. Tampoco lo es una operación Bizum ejecutada de madrugada tras una secuencia anómala de accesos que un cambio de IBAN en una factura empresarial mediante email comprometido.
El phishing es la técnica de captación fraudulenta de credenciales mediante suplantación de una entidad legítima. Puede aparecer como correo electrónico que remite a una página clonada, mensaje que simula una alerta de seguridad o comunicación que induce al cliente a introducir claves de acceso. Su relevancia civil reside en que la entrega de credenciales no equivale automáticamente a autorización de una operación concreta. Puede revelar un engaño sufrido por el usuario, pero no prueba por sí sola fraude del usuario ni negligencia grave.
El smishing utiliza SMS o mensajería instantánea. Su potencia deriva de la apariencia de continuidad con comunicaciones auténticas del banco, especialmente cuando los mensajes fraudulentos se insertan en hilos previos o reproducen el tono de avisos reales.
El vishing añade voz y presión psicológica: el defraudador llama simulando pertenecer a la entidad, invoca una emergencia y conduce al cliente a facilitar códigos o aprobar operaciones supuestamente defensivas. En ambos casos, el error del usuario puede ser inducido por una puesta en escena que explota la confianza institucional generada por la entidad bancaria.
El pharming redirige al usuario a una página falsa sin que este advierta necesariamente la manipulación. El troyano, el keylogger y otros programas maliciosos capturan pulsaciones, cookies, sesiones o códigos. Estas técnicas evidencian una idea básica: la sustracción de credenciales puede producirse sin conducta reprochable del cliente en términos de negligencia grave. La afirmación bancaria según la cual “si el tercero tuvo las claves, el cliente fue negligente” es una conclusión, no una prueba.
El SIM swapping consiste en obtener un duplicado o control fraudulento de la tarjeta SIM o de la línea telefónica del cliente para recibir códigos de confirmación.
El cardingy los cargos con tarjeta o con instrumentos tokenizados –Apple Pay, Google Pay, Samsung Pay u otros monederos digitales– desplazan la discusión hacia la emisión, enrolamiento, tokenización y validación de instrumentos de pago. La mera existencia de un token o la superación de una validación no bastan para demostrar autorización por el titular si este niega haber enrolado el instrumento o haber ordenado el cargo. La entidad debe explicar cómo se produjo el alta, qué factores se exigieron, qué alertas se enviaron, qué dispositivo se vinculó, desde qué IP o geolocalización aproximada se operó y qué controles impidieron o no impidieron el uso fraudulento. Las operaciones Bizum plantean problemas de inmediatez, límites diarios, agregación de pequeños importes y detección de patrones. La STS 571/2025 muestra precisamente que una sucesión de operaciones, algunas Bizum y otras transferencias, en horario inusual y por importes elevados, no puede tratarse como una secuencia normal si no se corresponde con el perfil histórico del cliente. La seguridad bancaria no se agota en exigir un código sino que también comprende monitorizar la anormalidad.
Por otra parte, el fraude del CEO y el business email compromise afectan especialmente a empresas, despachos y comunidades de propietarios. El delincuente suplanta a un administrador, directivo, proveedor o cliente, altera una factura o comunica un nuevo IBAN. Aquí el debate suele presentarse como ejecución de una orden aparentemente autorizada por el ordenante. La defensa debe distinguir entre dos planos: de un lado, el régimen de operaciones no autorizadas si la orden no fue realmente consentida por la persona legitimada; de otro, el régimen de ejecución conforme al identificador único cuando el ordenante, engañado, introduce él mismo un IBAN erróneo. La frontera no siempre es sencilla, pero es decisiva. El man-in-the-middle o fraude de intermediario se sitúa en la zona más problemática. El estafador se interpone en comunicaciones entre ordenante y beneficiario, o suplanta a uno de ellos, de modo que el cliente cree pagar al acreedor legítimo pero los fondos se abonan a una cuenta controlada por el criminal. Desde la óptica bancaria tradicional, el pago se ejecuta conforme al IBAN introducido. Desde la óptica de la diligencia profesional, sin embargo, el banco se halla ante una realidad incómoda: la transferencia puede haber sido formalmente ordenada, pero a un beneficiario no querido. Por eso la verificación IBAN-titular se convierte en una herramienta no accesoria, sino esencial.
El rasgo común de todas estas modalidades es la utilización del propio entorno digital como instrumento de confianza. La víctima no actúa en un descampado tecnológico, sino en una arquitectura diseñada para hacerle creer que el canal es seguro. De ahí que la defensa del afectado deba resistir el relato moralizante que reduce el caso a la ingenuidad del cliente. La cuestión jurídica no es si la víctima pudo ser más cauta. La cuestión es si el proveedor, como profesional que explota un sistema de pago expuesto a riesgos conocidos, desplegó las medidas exigibles, probó la autorización y acreditó, con hechos, la negligencia grave que pretende imputar.
III. El plano penal: estafa informática, uso fraudulento de instrumentos de pago y utilidad de la denuncia
La reacción inicial del afectado suele ser penal (denuncia ante policía, Guardia Civil o juzgado de guardia). Esa denuncia es necesaria, pero rara vez suficiente para la reparación. Necesaria, porque permite activar investigación, requerimientos a entidades receptoras, trazabilidad de fondos, identificación de titulares de cuentas mula y eventuales medidas cautelares. Insuficiente, porque el proceso penal acostumbra a dirigirse contra autores desconocidos o insolventes, mientras que la pretensión de reintegro frente al proveedor de servicios de pago descansa en una relación contractual y en un régimen especial de responsabilidad civil.
La tipificación penal vigente exige actualizar una cita que durante años se formuló de manera automática. La estafa informática ya no debe ubicarse, en la redacción consolidada actual, en el antiguo artículo 248.2 del Código Penal. El artículo 248 recoge el tipo básico de estafa. El artículo 249 tipifica, entre otras conductas, a quienes con ánimo de lucro, interfiriendo sistemas de información o valiéndose de manipulación informática o artificio semejante, consigan una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro; así como el uso fraudulento de tarjetas de crédito o débito, cheques de viaje u otros instrumentos de pago materiales o inmateriales distintos del efectivo.
La reforma operada por la Ley Orgánica 14/2022 reforzó, además, la protección de instrumentos de pago distintos del efectivo, en línea con la Directiva (UE) 2019/713. La relevancia para el fraude bancario es evidente pues como ha razonado la doctrina, muchas operaciones discutidas no encajan en el modelo clásico de engaño personal que induce a una disposición patrimonial, sino en estructuras de manipulación informática, captación de datos, utilización fraudulenta de instrumentos de pago o facilitación de dispositivos y programas diseñados para defraudar.
Ahora bien, la denuncia penal no debe convertirse en coartada para paralizar la vía civil. El banco puede invocar la existencia de diligencias penales para sostener que la responsabilidad corresponde al autor del delito o que procede esperar a la investigación criminal. La defensa del afectado debe responder que la acción civil contra el proveedor no depende de la condena del defraudador. Su fundamento no es la autoría penal del banco, sino el incumplimiento de obligaciones propias del servicio de pago, la distribución normativa del riesgo y la carga de la prueba establecida por la legislación sectorial.
Tampoco la prejudicialidad penal debe admitirse de forma automática. Solo procede cuando la decisión civil dependa de hechos que constituyan objeto esencial del proceso penal y cuya determinación resulte imprescindible para resolver. En la mayoría de las reclamaciones bancarias, el juez civil puede decidir si existió autorización, si la entidad probó la ausencia de deficiencia del servicio, si hubo negligencia grave del usuario o si procedía el reembolso, sin necesidad de identificar al delincuente. La existencia de un tercero defraudador suele ser un presupuesto común, no una cuestión impeditiva del juicio civil.
La denuncia penal, por tanto, debe integrarse en una estrategia más amplia. Conviene presentar denuncia temprana, describir con precisión la cronología, aportar pantallazos, SMS, correos, llamadas, justificantes y comunicaciones al banco, solicitar expresamente la trazabilidad de fondos y, cuando proceda, interesar oficios urgentes a las entidades receptoras. Pero, paralelamente, debe cursarse reclamación al proveedor de servicios de pago exigiendo el reembolso inmediato, la conservación de registros, la entrega de información técnica y el bloqueo de instrumentos.
La experiencia demuestra que la recuperación penal de fondos es excepcional cuando el dinero ha atravesado cuentas mula y se ha dispersado. La eficacia real se desplaza al litigio civil. Esa no es una anomalía, sino la consecuencia natural de un sistema que coloca sobre el proveedor profesional la obligación de hacer seguro el servicio que ofrece y de absorber el riesgo salvo prueba cualificada de fraude o negligencia grave del usuario.
IV. El plano civil: arquitectura normativa de los servicios de pago
El núcleo civil de la defensa del afectado se encuentra en el Real Decreto-Ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, que transpone PSD2 y configura un régimen especial de derechos y obligaciones entre usuario y proveedor. Su lógica es protectora, pero no paternalista. Impone deberes al usuario y al banco, distribuye la carga probatoria, delimita la responsabilidad por operaciones no autorizadas y regula la ejecución defectuosa de órdenes de pago.
El usuario debe utilizar el instrumento de pago conforme a sus condiciones, tomar medidas razonables para proteger sus credenciales de seguridad personalizadas y notificar al proveedor, sin demora indebida, el extravío, sustracción, apropiación indebida o utilización no autorizada del instrumento. Estas obligaciones son importantes y no deben minimizarse. Pero tampoco deben sobredimensionarse: el deber es adoptar medidas razonables, no garantizar la invulnerabilidad frente a ataques sofisticados; comunicar sin demora cuando se tenga conocimiento, no descubrir por intuición fraudes invisibles.
El proveedor, por su parte, debe cerciorarse de que las credenciales solo sean accesibles al usuario facultado, abstenerse de enviar instrumentos no solicitados, garantizar medios adecuados y gratuitos de notificación, facilitar prueba de la comunicación durante dieciocho meses, impedir la utilización del instrumento tras la notificación y soportar los riesgos derivados del envío de instrumentos o elementos de seguridad personalizados.
El artículo 43 regula la notificación y rectificación. El usuario obtiene la rectificación si comunica la operación no autorizada o incorrectamente ejecutada sin demora injustificada al tener conocimiento de ella y, en todo caso, dentro de trece meses desde el adeudo, salvo falta de información por el proveedor. El precepto no convierte los trece meses en un plazo de comodidad. La jurisprudencia del Tribunal de Justicia ha subrayado que la exigencia de comunicación “sin tardanza injustificada” posee entidad propia. El plazo máximo de trece meses no elimina el deber de reaccionar diligentemente cuando el usuario conoce la operación.
El artículo 44 es el eje probatorio. Si el usuario niega haber autorizado una operación o alega ejecución incorrecta, corresponde al proveedor demostrar que la operación fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por fallo técnico u otra deficiencia del servicio. Además, el mero registro de la utilización del instrumento no basta necesariamente para demostrar autorización ni fraude o negligencia grave del usuario sino que corresponde al proveedor probar tales extremos.
El artículo 45 establece la consecuencia jurídica principal: en caso de operación de pago no autorizada, el proveedor del ordenante debe devolver el importe de inmediato y, en todo caso, a más tardar al final del día hábil siguiente a aquel en que haya observado o se le haya notificado la operación, salvo que tenga motivos razonables para sospechar fraude y los comunique por escrito al Banco de España. La devolución no es una gracia comercial ni una medida provisional voluntaria. Es una obligación legal.
El artículo 46 delimita la responsabilidad del ordenante. Puede soportar hasta cincuenta euros en determinados supuestos de instrumento extraviado, sustraído o apropiado indebidamente por un tercero, con excepciones. Y soportará todas las pérdidas si actuó fraudulentamente o incumplió deliberadamente o por negligencia grave sus obligaciones de protección y notificación. Si el proveedor no exige autenticación reforzada de cliente, el ordenante solo soporta pérdidas si actuó fraudulentamente.
Junto a este régimen se sitúa el Reglamento Delegado (UE) 2018/389, que desarrolla la autenticación reforzada de cliente y los estándares de comunicación seguros. Su artículo 2 exige mecanismos de supervisión de operaciones para detectar transacciones no autorizadas o fraudulentas, basados en el análisis del uso normal de las credenciales y en factores de riesgo como elementos de autenticación comprometidos, importe, escenarios conocidos de fraude, señales de malware y uso anormal de dispositivos o programas. La banca digital no puede limitarse a abrir la puerta a quien presenta una llave; debe advertir cuándo la llave se usa de modo incompatible con el comportamiento esperado del titular.
La normativa admite modulaciones en relaciones con usuarios no consumidores ni microempresas. El artículo 34 del Real Decreto-Ley 19/2018 permite que, cuando el usuario no sea consumidor ni microempresa, las partes pacten la inaplicación o modificación de determinados preceptos, entre ellos parte del régimen de prueba y responsabilidad. Esta previsión exige especial atención en fraudes empresariales. No basta con presumir la protección íntegra del consumidor, sino que hay que revisar el contrato marco, la condición de microempresa, las cláusulas derogatorias y su alcance. Aun así, la profesionalidad bancaria y las obligaciones imperativas no desaparecen por el mero hecho de que el ordenante sea una sociedad.
V. Autenticación, autorización y consentimiento: tres conceptos que no deben confundirse
La defensa bancaria suele comenzar por una palabra: autenticación. La operación fue autenticada, luego fue autorizada. El salto lógico es indebido. Autenticar es comprobar el uso de un instrumento o de credenciales. Autorizar es prestar consentimiento para una operación concreta. La primera es una condición técnica. La segunda es una declaración jurídica. Pueden coincidir, pero no se identifican.
El consentimiento en servicios de pago debe referirse a la operación de pago y prestarse en la forma acordada. La falta de consentimiento convierte la operación en no autorizada. Por ello, cuando el cliente niega haber autorizado, el debate no se resuelve exhibiendo logs de acceso o códigos OTP. Esos elementos podrán ser relevantes, pero no concluyentes. El proveedor debe acreditar que el cliente consintió la operación o, si no puede hacerlo, que concurre fraude o negligencia grave que justifique trasladarle la pérdida.
La jurisprudencia europea ha insistido en la estructura cerrada del régimen. La STJUE de 2 de septiembre de 2021 (asunto C-337/20, CRAM) destacó que la responsabilidad por operaciones no autorizadas se articula mediante tres piezas conectadas: obligación de notificación del usuario, carga probatoria favorable al usuario y devolución inmediata por el proveedor, dentro de un modelo de responsabilidad estricta que no exige al usuario probar culpa del banco. La doctrina es trascendente porque impide reintroducir, por la puerta de la responsabilidad contractual general, exigencias probatorias que el régimen especial desplaza.
La STJUE de 11 de julio de 2024 (asunto C-409/22, Eurobank Bulgaria), refuerza la distinción entre instrumento, autenticación y consentimiento en un contexto de poderes y operaciones bancarias. La autenticación no puede erigirse en presunción absoluta de consentimiento, sino que su función es demostrar que se utilizaron determinados mecanismos, pero la operación autorizada exige una base jurídica y fáctica de voluntad del ordenante.
La STS 571/2025, de 9 de abril traslada esa lógica al fraude digital. La Sala Primera afirma que las operaciones iniciadas con claves de usuario y contraseña y confirmadas mediante SMS pueden ser operaciones no autorizadas si el usuario niega haberlas autorizado. La razón es clara: el sistema de pago puede haber sido utilizado por un tercero, o el usuario puede haber sido inducido a facilitar elementos de validación sin consentir la concreta disposición patrimonial ejecutada. El registro de uso del instrumento no basta.
Esta distinción tiene consecuencias procesales inmediatas. En la demanda no debe aceptarse el lenguaje de la entidad cuando denomina “operaciones autorizadas” a las que solo puede probar como “operaciones autenticadas”. La narración debe separar los hechos: acceso, autenticación, orden, consentimiento, confirmación, ejecución, comunicación y respuesta bancaria. Cada uno exige prueba. La entidad que solo acredita autenticación deja sin cubrir el núcleo jurídico de la autorización.
También tiene consecuencias en la valoración de la negligencia. Un cliente puede haber entregado datos bajo engaño y, sin embargo, no haber actuado con negligencia grave. El engaño es precisamente el presupuesto de las estafas. Convertir la condición de víctima en prueba de culpa supone vaciar el régimen de protección. La negligencia grave exige una desviación cualificada de las medidas razonables exigibles, no una simple conducta imperfecta bajo presión, apariencia de legitimidad o sofisticación técnica.
VI. Carga de la prueba y responsabilidad cuasi objetiva del proveedor
El artículo 44 del Real Decreto-Ley 19/2018 constituye una regla de inversión probatoria y, al mismo tiempo, una regla de política jurídica. Quien controla el sistema, conserva los registros, diseña los mecanismos de autenticación, conoce los patrones de fraude, dispone de herramientas de monitorización y obtiene beneficio económico del servicio es quien debe probar su corrección. El cliente solo puede narrar lo vivido y aportar los vestigios a su alcance. El banco posee la caja negra del pago.
La STS 571/2025 formula esta idea con especial claridad. Concluye que la responsabilidad del proveedor en operaciones no autorizadas o ejecutadas incorrectamente tiene carácter cuasi objetivo. No porque el banco responda siempre, sino porque la ley reduce los espacios de exoneración: la entidad debe reintegrar salvo fraude o negligencia grave del usuario, y debe probar los presupuestos técnicos y jurídicos que invoca para oponerse.
El adjetivo “cuasi objetivo” no debe malinterpretarse. No elimina los deberes del cliente ni convierte al banco en asegurador universal de cualquier pérdida. Significa que, una vez denunciada la operación, el centro de gravedad probatorio se desplaza al proveedor. Si este no acredita autorización, ausencia de deficiencia del servicio y, en su caso, negligencia grave del usuario, debe soportar la pérdida.
La prueba bancaria debe ser concreta. No basta con aportar un certificado interno genérico, un informe de parte que afirme la corrección del sistema o una relación de logs incomprensibles. La entidad debe explicar qué credenciales se utilizaron, desde qué dispositivo, con qué IP, qué geolocalización aproximada, qué factor de autenticación se exigió, cómo se enroló el dispositivo, qué mensaje recibió el usuario, qué texto exacto contenía la OTP o alerta, qué límites operativos existían, qué reglas antifraude se activaron o no, qué perfil histórico tenía el cliente, por qué no se bloqueó la operación y qué comunicación se hizo al Banco de España si se denegó el reembolso por sospecha de fraude.
La conservación documental durante al menos seis años prevista en el art. 44.4 del Real Decreto-ley 19/2018, de 23 de noviembre refuerza esa exigencia. Si la entidad no aporta registros que debía conservar, la consecuencia probatoria no puede recaer sobre el cliente. El juez debe valorar la disponibilidad y facilidad probatoria conforme a la lógica del artículo 217 de la Ley de Enjuiciamiento Civil, además del régimen especial del artículo 44.
En los fraudes con pluralidad de operaciones, la carga probatoria se intensifica. Una única operación puede resultar menos llamativa. Sin embargo, una secuencia de quince transferencias, operaciones Bizum y pagos en horario anómalo reclama explicación. La STS 571/2025 subraya que sistemas o aplicaciones informáticas pueden detectar anomalías atendiendo al número y sucesión de operaciones, intervalo, hora, importe y entidades de destino. Si la entidad no explica por qué una secuencia objetivamente anómala no activó controles, la deficiencia del servicio aparece como hipótesis jurídicamente robusta.
La defensa del afectado debe traducir esta carga en peticiones probatorias precisas. En la reclamación previa y en la demanda conviene solicitar: contrato marco; condiciones de banca digital; logs de acceso; registros de autenticación; IP y dispositivo; texto de SMS, push u OTP; historial de operaciones ordinarias de los doce o veinticuatro meses previos; reglas de límites; alertas antifraude; motivo de no bloqueo; comunicación al Banco de España si se alegó fraude; trazabilidad del pago; datos de la entidad receptora; y constancia de los esfuerzos de recuperación.
El proceso no debe convertirse en una discusión abstracta sobre si el cliente guardó bien sus claves. Debe ser una auditoría jurídica del servicio prestado en el caso concreto. Esa es la diferencia entre una defensa reactiva y una defensa técnicamente orientada.
VII. Negligencia grave del usuario y estándar profesional del banco
La negligencia grave se ha convertido en la excepción bancaria por excelencia. Su atractivo es evidente: si prospera, permite trasladar al usuario las pérdidas. Pero precisamente por ese efecto debe ser interpretada restrictivamente y probada de forma rigurosa. No basta con afirmar que el cliente “picó” en un engaño, abrió un enlace, atendió una llamada o introdujo un código. El fraude bancario digital se construye para provocar esas conductas. La negligencia grave exige algo más: una infracción palmaria, cualificada y causal de deberes razonables de custodia o comunicación.
La doctrina clásica sobre la diligencia bancaria ya advertía que la profesionalidad eleva el estándar. SALANITRO vinculó la actividad bancaria a una diligencia técnica superior, propia de quien organiza profesionalmente el tráfico de dinero. En la doctrina española, HERAS HERNÁNDEZ analizó el modelo de responsabilidad civil de las entidades financieras en función de su profesionalidad, destacando que la confianza depositada en el banco no es neutra: genera deberes reforzados. MARTÍNEZ DE SALAZAR BASCUÑANA, en el ámbito de las malas prácticas bancarias, insistió igualmente en que la entidad no actúa como un contratante ordinario, sino como profesional experto en un mercado regulado.
La STS 571/2025 recoge esa intuición con lenguaje actual: el grado de diligencia exigible al proveedor de servicios de pago no es el del buen padre de familia, sino el de un ordenado y experto comerciante. Así nos hemos referido en otras ocasiones a la diligencia exigible al bonus argentarius: el banquero diligente, profesional, tecnológicamente equipado y consciente de los riesgos propios de su actividad
El contraste es decisivo. Al cliente se le exige adoptar medidas razonables en tanto que al banco le resulta exigible una diligencia profesional reforzada. La defensa bancaria invierte a menudo esta relación: reclama al usuario una pericia casi informática y se reserva para sí un estándar mínimo de funcionamiento formal. El Derecho no avala esa inversión. Quien ofrece banca móvil debe prever phishing, smishing, vishing, SIM swapping, malware, cambios de dispositivo, accesos anómalos, operaciones acumuladas, destinatarios nuevos, importes inusuales y patrones de fraude conocidos.
La valoración de la negligencia grave debe atender, al menos, a seis factores. Primero, la sofisticación del engaño: no es igual un correo burdo con errores manifiestos que una comunicación insertada en un hilo real o una llamada con datos personales precisos. Segundo, la apariencia de legitimidad: uso de números, dominios, logos, mensajes o interfaces similares a los bancarios. Tercero, la presión temporal: muchas estafas inducen urgencia, bloqueo de cuenta o riesgo de pérdida. Cuarto, la conducta posterior del usuario: comunicación inmediata, denuncia, bloqueo de instrumentos, colaboración. Quinto, la experiencia y perfil del cliente: consumidor vulnerable, persona mayor, empresa con procedimientos internos, administrador profesional. Sexto, la causalidad: la conducta imputada debe haber causado la pérdida y no ser una mera imperfección irrelevante.
El proveedor no puede limitarse a exhibir recomendaciones generales de seguridad enviadas a su clientela. Tales recomendaciones pueden acreditar una política informativa, pero no prueban que el usuario incumpliera gravemente en el caso concreto. Tampoco basta con cláusulas contractuales que trasladen al cliente toda consecuencia del uso de credenciales. Si esas cláusulas vacían derechos imperativos de servicios de pago, deberán reputarse ineficaces y, en relaciones de consumo, abusivas.
La doctrina científica reciente sobre phishing bancario ha destacado que el régimen de responsabilidad civil no puede descansar en una imputación automática al usuario por haber sido engañado. CALVO SAN JOSÉ, al estudiar la responsabilidad civil de los bancos en delitos de estafa por phishing, subraya la necesidad de valorar la posición profesional de la entidad y su capacidad de prevención frente a un fenómeno masivo y conocido.
La negligencia grave tampoco puede presumirse por la mera filtración de claves. La STS 571/2025 declara que el acceso de un tercero a las claves de banca digital no supone per se negligencia alguna, pues existen múltiples explicaciones difícilmente atribuibles al usuario y menos aún a título de negligencia grave. Esta afirmación debe ocupar un lugar central en las demandas y oposiciones, pues supone la destrucción de la inferencia bancaria más repetida.
VIII. El IBAN como identificador único y el problema del man-in-the-middle
Las transferencias presentan una cuestión específica: el papel del identificador único. El artículo 59 del Real Decreto-Ley 19/2018 dispone que, cuando una orden de pago se ejecuta de acuerdo con el identificador único, se considera correctamente ejecutada en relación con el beneficiario especificado en dicho identificador. Si el identificador facilitado por el usuario es incorrecto, el proveedor no responde, con arreglo al régimen de ejecución defectuosa, de la no ejecución o ejecución defectuosa, aunque debe esforzarse razonablemente por recuperar los fondos y facilitar información pertinente para la reclamación.
La regla tiene sentido operativo. Los pagos masivos no pueden depender de comprobaciones manuales generalizadas. El sistema SEPA descansa en identificadores normalizados. Pero la regla, llevada al extremo, producía un resultado inquietante pues, si el cliente indicaba el nombre correcto del beneficiario y un IBAN fraudulento introducido por un tercero, la entidad podía ejecutar sin comprobar la discordancia y oponer que había seguido el identificador único.
La STS 507/2025, de 27 de marzo abordó esa cuestión bajo el régimen anterior, aplicando la normativa de la Ley 16/2009 y la lógica del identificador único. La Sala delimitó, a nuestro juicio de modo excesivamente simplista, la responsabilidad del proveedor y sostuvo que, en principio, la obligación de ejecución se circunscribía al identificador facilitado por el ordenante. No obstante, la interpretación no exime de responsabilidad cuando concurren circunstancias ajenas al mero suministro de datos adicionales: estipulación de un requisito añadido, aprovechamiento del error por el proveedor o falta de medidas diligentes tras la comunicación temprana del error para permitir la retroacción o minimizar el daño.
La STS 1733/2025, de 27 de noviembre, ya bajo el Real Decreto-Ley 19/2018, pero respecto de hechos sometidos al régimen de identificador único anterior a la obligación generalizada de verificación, confirma esa línea —sobre la que volvemos a discrepar— concluyendo que el proveedor de servicios de pago del beneficiario no es responsable por no comprobar que el nombre del destinatario no coincide con el titular de la cuenta de destino si ejecutó conforme al IBAN facilitado, sin perjuicio de los deberes de recuperación y cooperación.
En cualquier caso, estas resoluciones no deben leerse como patente de corso para la desprotección del ordenante. Deben leerse históricamente. Explican el punto de partida normativo que hacía del IBAN el eje casi exclusivo de ejecución. Precisamente por eso el artículo 5 quater del Reglamento (UE) 2024/886 supone un cambio de paradigma al introducir una obligación específica de verificación que altera el modo en que la discordancia nombre-IBAN debe ser tratada.
El fraude man-in-the-middle evidencia la tensión. El ordenante quiere pagar a un beneficiario real. El delincuente altera la comunicación y suministra un IBAN distinto. La operación puede estar autenticada y ejecutada conforme al identificador, pero el resultado económico es el pago a un no beneficiario. Antes de la obligación de verificación, la defensa del afectado debía apoyarse en anomalías, pactos, diligencia posterior, recuperación de fondos, deberes de información o deficiencias concretas. Desde el 9 de octubre de 2025, en pagos sujetos al artículo 5 quater, la pregunta cambia: ¿Se verificó la correspondencia entre el identificador y el beneficiario antes de ofrecer al ordenante la autorización? ¿Se advirtió la discrepancia? ¿Qué respuesta exacta recibió el usuario? ¿Se le informó de las consecuencias de ignorar la advertencia?
La defensa de fraudes MITM debe, por tanto, distinguir cuidadosamente tres periodos. Primero, hechos anteriores a la exigibilidad de verificación, en los que la regla del identificador único conserva gran fuerza, aunque no excluye otras vías de responsabilidad. Segundo, hechos posteriores al 9 de octubre de 2025 en proveedores radicados en Estados miembros cuya moneda es el euro, donde la omisión o defectuosa verificación abre un cauce directo de reembolso si causa la ejecución defectuosa. Tercero, supuestos transfronterizos o con proveedores radicados en Estados no euro, sujetos a calendarios propios.
IX. La verificación IBAN-titular desde el 9 de octubre de 2025
El artículo 5 quater del Reglamento (UE) 2024/886 merece una atención autónoma. No se limita a mejorar la experiencia del usuario. Construye una obligación jurídica de seguridad preventiva. El proveedor de servicios de pago del ordenante debe prestar el servicio de garantía de verificación inmediatamente después de que el ordenante facilite la información pertinente sobre el beneficiario y antes de que se le ofrezca la posibilidad de autorizar la transferencia, con independencia del canal de iniciación.
Cuando el ordenante introduce el nombre del beneficiario y el identificador de cuenta, el proveedor debe verificar si coinciden. Si no se corresponden, debe notificarlo al ordenante e informarle de que autorizar la transferencia podría dar lugar a que los fondos se transfieran a una cuenta de pago de la que no sea titular el beneficiario indicado. Si existe una correspondencia casi exacta, debe indicar el nombre del beneficiario asociado al identificador. En personas jurídicas, pueden emplearse identificadores como número fiscal, identificador único europeo o LEI cuando estén disponibles. En cuentas ómnibus o mantenidas por cuenta de múltiples beneficiarios, debe articularse información adicional que permita la identificación inequívoca.
El servicio debe facilitarse gratuitamente a todos los usuarios. Los usuarios no consumidores que cursen múltiples órdenes de pago agrupadas pueden optar por no recibirlo, pero deben poder volver a activarlo en cualquier momento, y el proveedor debe informarles de las consecuencias de esa opción.
La regla de responsabilidad es igualmente clara. El proveedor no será considerado responsable por ejecución a beneficiario no intencionado por haberse indicado un identificador único incorrecto si cumplió los requisitos del artículo 5 quater. En cambio, cuando el proveedor del ordenante incumpla el apartado 1, o el proveedor de iniciación incumpla el apartado 2, y tal incumplimiento dé lugar a una operación ejecutada defectuosamente, el proveedor del ordenante reembolsará sin demora el importe transferido y restablecerá, cuando proceda, la cuenta al estado anterior. Las compensaciones entre proveedores no afectan al derecho del ordenante.
La conclusión doctrinal es nítida al apuntar que el legislador europeo positiviza una diligencia que durante años podía defenderse como buena práctica bancaria esencial. La verificación IBAN-titular deja de ser una aspiración técnica para convertirse en deber jurídico. En las transferencias afectadas, el banco ya no puede refugiarse sin más en que ejecutó el IBAN introducido sino que debe acreditar que prestó correctamente el servicio de verificación y que informó adecuadamente al usuario.
La obligación no bloquea toda transferencia discrepante. El usuario puede ignorar la advertencia y continuar. Pero esa posibilidad desplaza el debate probatorio. De este modo habrá que analizar qué advertencia se ofreció, si fue clara, si apareció antes de la autorización, si identificó el riesgo, si hubo correspondencia casi exacta, si el usuario actuó en masa como empresa que había optado por excluir el servicio o si la entidad omitió información sobre las consecuencias. La advertencia genérica, tardía o ininteligible no debería bastar.
En la defensa procesal, la verificación introduce nuevas peticiones probatorias. Debe solicitarse: registro de la consulta de verificación; respuesta del proveedor del beneficiario; resultado mostrado al ordenante; literalidad de la advertencia; hora exacta de visualización; confirmación posterior; logs del canal utilizado; política de coincidencia exacta o aproximada; y, si el beneficiario era persona jurídica, datos identificativos usados para la verificación. La entidad que no pueda producir esa información difícilmente podrá acreditar el cumplimiento del artículo 5 quater.
El Banco de España ha explicado al cliente bancario que este nuevo servicio permite comprobar si el nombre del beneficiario coincide con el titular de la cuenta de destino y ayuda a prevenir fraudes y errores en transferencias. Esa divulgación institucional tiene valor práctico: refuerza la expectativa legítima de que el usuario reciba una advertencia útil, no un trámite opaco.
El horizonte europeo avanza todavía más. El acuerdo político sobre PSD3 y el futuro Reglamento de Servicios de Pago —PSR— anunciado en noviembre de 2025 apunta a un marco antifraude más ambicioso, con atención a fraudes de suplantación y protección reforzada del consumidor. Mientras no conste su entrada en vigor y texto definitivo aplicable, debe tratarse con cautela, pero confirma una tendencia que apunta a la convicción de la Unión Europea de no desplazar el riesgo hacia el usuario, sino exigir a proveedores y ecosistema digital mecanismos más intensos de prevención, bloqueo, información y reembolso.
X. Supuestos especiales: tarjetas, monederos digitales, bizum, sim swapping y fraude empresarial
La litigación por fraude bancario no se agota en la transferencia clásica. La práctica forense muestra una pluralidad de escenarios cuya correcta calificación condiciona el éxito de la reclamación. Conviene examinarlos de forma separada, no para fragmentar artificialmente el régimen, sino para adaptar la prueba a la arquitectura técnica de cada instrumento.
1. Tarjetas, comercio electrónico y operaciones no presenciales
En las operaciones con tarjeta, la entidad suele invocar que la compra fue validada mediante 3D Secure, OTP o autenticación reforzada. La respuesta debe mantenerse fiel al esquema general: validación no equivale necesariamente a consentimiento. La pregunta relevante es si el titular autorizó esa concreta operación, con ese comercio, por ese importe y en ese momento. Si niega la autorización, el proveedor debe probar la autenticación y la ausencia de deficiencia, y además debe superar la insuficiencia legal del mero registro de uso.
La defensa del afectado debe analizar el contexto de la operación: comercio destinatario, país, hora, divisa, historial previo del cliente, número de intentos fallidos, alta reciente de tarjeta, cambio de dispositivo, modificación de teléfono de contacto, patrón de compras y eventuales alertas. Una operación aislada de pequeño importe puede ser compatible con el uso ordinario pero una sucesión de cargos en comercios desconocidos o plataformas de publicidad digital tras avisos previos de accesos no reconocidos exige una explicación técnica más robusta.
La entidad debe acreditar, además, la literalidad de los mensajes de confirmación. No es indiferente que el SMS o notificación push dijera “autoriza compra de 1.000 euros en comercio X” o que empleara una fórmula genérica, confusa o carente de destinatario. La autenticación reforzada no es un rito vacío. Su finalidad es que el usuario comprenda qué operación está validando. Si la información ofrecida no permite identificar adecuadamente el pago, el consentimiento queda jurídicamente debilitado.
El Consejo de Consumidores y Usuarios ya había advertido desde los primeros desarrollos de banca electrónica, que la protección del consumidor no podía descansar solo en la posesión formal de claves, porque el entorno digital multiplica asimetrías informativas y riesgos de suplantación. Esa observación conserva plena actualidad de modo que cuanto más invisible es el proceso de autorización para el usuario, mayor debe ser la claridad de la información que precede a la validación.
2. Tokenización y monederos digitales
Los pagos mediante monederos digitales presentan una dificultad adicional toda vez que antes del cargo puede existir una fase de enrolamiento del instrumento en el dispositivo. El litigio no debe centrarse únicamente en la compra final sino que debe retroceder al momento en que la tarjeta fue incorporada al wallet. Si el cliente niega haber realizado el enrolamiento, la entidad debe explicar qué controles aplicó para asociar la tarjeta a ese dispositivo, qué factores de autenticación exigió, si hubo cambio de terminal, si se envió aviso, si el aviso fue claro y si existieron operaciones de prueba.
En estos supuestos, la prueba del banco debería incluir la fecha y hora de tokenización, identificador del token, canal de alta, dispositivo asociado, dirección IP, confirmaciones enviadas, medidas antifraude y eventuales comunicaciones al cliente. La ausencia de esa información no puede suplirse con la afirmación de que el monedero digital es seguro. La seguridad general del producto no prueba la autorización concreta.
La defensa debe revisar también las cláusulas de banca digital y tarjeta. Algunas condiciones pretenden trasladar al usuario toda consecuencia de la activación de instrumentos en terceros dispositivos. En relaciones de consumo, estas estipulaciones deberán confrontarse con la normativa de cláusulas abusivas si producen un desequilibrio incompatible con el régimen imperativo de servicios de pago. La entidad no puede convertir contractualmente una carga probatoria propia en presunción irrebatible contra el cliente.
3. Bizum y pagos inmediatos de pequeña apariencia
Bizum ofrece rapidez y sencillez, y precisamente por ello resulta atractivo para el defraudador. Sus límites pueden inducir a fraccionar el fraude en operaciones sucesivas, de importe individual moderado, pero de daño agregado relevante. La defensa debe evitar que el banco analice cada operación aisladamente. El patrón global es transcendente: número de pagos, destinatarios nuevos, concentración temporal, horario, dispositivo, coincidencia con accesos previos, intentos rechazados y comportamiento histórico del cliente.
La STS 571/2025 es especialmente útil para combatir la atomización defensiva de la entidad. La Sala no observó cada pago como una isla sino que valoró la secuencia como un todo. Si una persona que no opera de madrugada realiza de pronto numerosas disposiciones, algunas por importes elevados y otras a través de Bizum, el sistema debe reaccionar. La diligencia profesional se mide por la capacidad de detectar patrones, no por la corrección individual de cada microvalidación.
En la demanda conviene representar gráficamente la secuencia: una tabla con fecha, hora, canal, importe, beneficiario, IP o dispositivo si consta, y reacción de la entidad. Esa visualización facilita al juzgador percibir la anormalidad. El fraude digital suele esconderse en la velocidad; el proceso debe devolverle legibilidad.
4. SIM swapping y responsabilidad concurrente
El SIM swapping plantea una cuestión de concurrencia causal. El defraudador obtiene el control de la línea telefónica o de la recepción de mensajes, de modo que puede superar factores de autenticación basados en SMS. Puede existir responsabilidad del operador por deficiencias en la expedición del duplicado, cambio de titularidad o portabilidad, pero ello no excluye automáticamente la responsabilidad del proveedor de servicios de pago.
El banco conoce, o debe conocer, que el SMS como factor de autenticación presenta riesgos específicos. Por eso debe vigilar cambios de dispositivo, modificaciones de teléfono, pérdida repentina de conectividad, accesos desde ubicaciones inusuales y operaciones relevantes inmediatamente posteriores a un cambio en el entorno de autenticación. Si el fraude se produce tras una duplicación de SIM, la entidad debe explicar por qué consideró normal la operación y qué medidas adoptó para verificar que el titular seguía controlando el canal.
Desde la perspectiva procesal, puede ser conveniente dirigir la acción contra banco y operador cuando la prueba inicial apunta a ambos. Pero no siempre. Demandar a todos los posibles intervinientes puede encarecer y dilatar el procedimiento. La decisión debe depender de la solvencia probatoria: si el núcleo del caso está en la falta de reembolso por operación no autorizada, la acción contra el banco puede ser suficiente. En cambio, si la obtención fraudulenta de la SIM está documentada y fue causa directa, la acumulación puede reforzar la reparación integral.
Debe solicitarse al operador información sobre fecha y hora del duplicado o portabilidad, canal empleado, documentos aportados, tienda o agente interviniente, método de verificación, avisos enviados al titular y registro de incidencias. Al banco, simultáneamente, se le pedirán registros de operaciones posteriores, cambios de dispositivo, uso de OTP y alertas. La comparación cronológica entre ambas fuentes puede revelar la causalidad.
5. Fraude empresarial, pagos a proveedores y controles internos
En el fraude empresarial, el banco suele insistir en que la sociedad ordenante dispone de mayor capacidad organizativa que un consumidor. El argumento puede tener peso, pero no es absoluto. La empresa debe implantar controles internos razonables -doble firma, verificación telefónica de cambios de IBAN, segregación de funciones, límites por usuario-, pero el proveedor de servicios de pago sigue sujeto a las obligaciones de ejecución, información, verificación cuando proceda y cooperación en la recuperación de fondos.
La primera tarea del abogado es determinar si la empresa es microempresa a efectos del régimen de servicios de pago y si el contrato marco contiene derogaciones válidas al amparo del artículo 34 del Real Decreto-Ley 19/2018. Muchos litigios se resuelven de forma deficiente por no comprobar este punto. Si la empresa conserva la protección de microempresa, el régimen se aproxima al del consumidor. Si no, habrá que examinar qué artículos fueron excluidos o modificados y si la cláusula supera los controles generales de incorporación, transparencia y buena fe entre empresarios.
En casos de business email compromise, la prueba documental suele ser abundante: correos intervenidos, facturas alteradas, comunicaciones con proveedores, dominio suplantado, cambios de IBAN, confirmaciones internas y órdenes de transferencia. El banco puede no haber participado en el engaño, pero desde el 9 de octubre de 2025 la verificación del beneficiario adquiere un valor decisivo. Si el proveedor verdadero se identifica de un modo distinto al IBAN, la advertencia debió aparecer antes de la autorización. La omisión de esa advertencia puede transformar un caso antes difícil en una reclamación sólida.
La empresa afectada debe acreditar sus controles internos, no ocultarlos. Mostrar que existían procedimientos razonables ayuda a neutralizar la imputación de negligencia. La defensa no debe presentar a la sociedad como infalible, sino como víctima de una suplantación que superó controles ordinarios y que pudo ser evitada o mitigada mediante una verificación bancaria cuya finalidad normativa es precisamente detectar discordancias entre beneficiario querido e identificador de cuenta.
6. Transferencias instantáneas: rapidez, irrevocabilidad y deber de reacción
La transferencia instantánea intensifica el problema de la recuperación. La disponibilidad en segundos reduce la ventana para congelar fondos y favorece su dispersión. Esa rapidez, sin embargo, no puede operar solo en beneficio comercial del sistema y en perjuicio del usuario. Si el proveedor ofrece pagos inmediatos, debe acompañarlos de controles preventivos equivalentes a su riesgo: límites configurables, verificación del beneficiario, detección de destinatarios nuevos, alertas comprensibles y mecanismos de reacción tras la comunicación.
El Reglamento (UE) 2024/886 no se limita a imponer inmediatez sino que combina velocidad con garantías. La verificación del beneficiario, los límites que puede fijar el usuario y la información sobre discrepancias son contrapesos necesarios. En litigio, la entidad que invoca la inevitabilidad del daño por rapidez debe explicar qué mecanismos preventivos ofreció y si permitió al cliente configurar límites diarios o por operación.
La actuación posterior también importa. Aunque el pago sea instantáneo, el proveedor debe desplegar esfuerzos razonables para recuperar los fondos cuando el usuario comunica el error o fraude. La pasividad en las primeras horas puede agravar el daño. Por ello conviene solicitar registros de comunicaciones interbancarias, solicitudes de retrocesión, respuestas de la entidad receptora y tiempos de actuación.
7. Cláusulas contractuales y límites de la autorresponsabilidad
La contratación bancaria digital contiene a menudo cláusulas de custodia de claves, responsabilidad por uso de dispositivos, aceptación de operaciones validadas y recomendaciones de seguridad. Estas cláusulas son legítimas en la medida en que ordenan el uso del servicio pero se vuelven problemáticas cuando pretenden convertir toda operación autenticada en autorizada o trasladar al usuario pérdidas que la ley asigna al proveedor salvo prueba de fraude o negligencia grave.
En relaciones de consumo, la abusividad puede articularse por desequilibrio importante, limitación de derechos legales del consumidor o inversión indebida de la carga de la prueba. En relaciones empresariales, el control será distinto, pero la cláusula tampoco puede derogar normas imperativas ni amparar una prestación defectuosa del servicio. La autorresponsabilidad del usuario existe, pero no absorbe la profesionalidad del banco.
La defensa debe leer el contrato no solo para impugnar cláusulas, sino para identificar obligaciones asumidas por la entidad: alertas, límites, canales de bloqueo, seguro asociado, procedimientos de reclamación, doble firma, confirmaciones reforzadas o verificación de beneficiario. Muchas veces el propio contrato ofrece argumentos contra la entidad cuando esta no cumplió su protocolo.
XI. Defensa del afectado: reclamación previa, prueba, demanda y respuesta a las excepciones bancarias
La defensa eficaz del afectado comienza antes de la demanda. En fraudes bancarios, las primeras veinticuatro o cuarenta y ocho horas pueden determinar la conservación de prueba, la recuperación parcial de fondos y la posición procesal futura. La estrategia debe ser rápida, documentada y jurídicamente orientada.
1. Actuación inmediata
El afectado debe comunicar sin demora la operación al proveedor, bloquear instrumentos, cambiar credenciales, denunciar penalmente, conservar mensajes y pantallazos, solicitar justificante de la comunicación y pedir la devolución inmediata. La comunicación debe formularse de manera que active expresamente el régimen de los artículos 43 y 45 del Real Decreto-Ley 19/2018. No conviene limitarse a una llamada informal. Debe quedar constancia escrita o grabada, número de incidencia, fecha y hora.
La reclamación inicial debe evitar expresiones ambiguas que puedan ser utilizadas contra el cliente. No es aconsejable afirmar “autoricé por error” si en realidad se sufrió una suplantación o manipulación. Debe describirse: “niego haber autorizado la operación en los términos ejecutados”; “la operación fue inducida mediante fraude”; “no consentí transferir fondos al beneficiario real de la cuenta receptora”; “la entidad debe reintegrar conforme al régimen de operaciones no autorizadas o ejecutadas defectuosamente”.
2. Reclamación extrajudicial al banco
La reclamación debe dirigirse al servicio de atención al cliente de la entidad y, en su caso, posteriormente al Banco de España. Su contenido mínimo debería incluir: identificación del cliente y cuenta; relación cronológica de hechos; detalle de operaciones; momento de conocimiento; comunicaciones realizadas; denuncia penal; solicitud de bloqueo y retrocesión; exigencia de reembolso inmediato; petición de conservación y entrega de registros; invocación de artículos 41 a 46 y, si procede, 59 del Real Decreto-Ley 19/2018 y 5 quater del Reglamento (UE) 2024/886.
El objetivo de la reclamación no es solo intentar una solución. Es preparar el proceso. Por eso debe requerirse a la entidad para que indique si deniega el reembolso por sospecha de fraude y, en tal caso, acredite la comunicación escrita al Banco de España. También debe pedirse que identifique la base contractual o normativa de cualquier imputación de negligencia grave. La respuesta bancaria suele ser genérica y esa ambigüedad puede convertirse en argumento de demanda.
3. Conciliación, mediación y reclamaciones administrativas
La conciliación puede tener utilidad táctica cuando se busca interrumpir prescripción, fijar posición o mostrar voluntad de solución. No obstante, en fraudes bancarios con negativa cerrada de la entidad, rara vez resuelve. La reclamación ante el Banco de España ofrece una valoración supervisora relevante, aunque no ejecutiva. Puede ser útil como elemento persuasivo, especialmente cuando constata malas prácticas, retrasos de respuesta, falta de información o incumplimientos de deberes de atención.
La eventual reclamación en consumo dependerá del perfil del cliente y de la materia. En relaciones de consumo, puede reforzar la presión y en supuestos empresariales, la vía será normalmente civil directa, con las particularidades propias de la LO 1/2025 en lo atinente al requisito de procedibilidad.
4. Jurisdicción, competencia y procedimiento
La acción civil corresponde a la jurisdicción civil. La competencia territorial dependerá de la condición de consumidor, domicilio del demandante, sumisión válida y reglas generales. En reclamaciones de cantidad superiores a 15.000 euros, el procedimiento será ordinario. Para cuantías inferiores habrá de articularse por los cauces del juicio verbal, sin perjuicio de la complejidad de la prueba. En la práctica, muchos fraudes superan la cuantía del verbal, pero incluso importes menores pueden requerir prueba técnica.
Debe cuidarse la legitimación activa. El titular de la cuenta es el sujeto natural de la acción. En cuentas con varios titulares, habrá que acreditar el perjuicio y la relación con los fondos. En empresas, actuará la sociedad. Si el fraude afectó a una tarjeta adicional, cuenta de comunidad o instrumento usado por autorizado, conviene precisar quién ostenta la relación contractual y quién sufrió el daño.
La legitimación pasiva suele corresponder al proveedor de servicios de pago del ordenante. En algunos supuestos puede demandarse también al proveedor del beneficiario, al operador de telecomunicaciones o a terceros intervinientes, pero no somos partidarios de introducir un litisconsorcio innecesario que complique la acción principal. La entidad del ordenante es quien debe responder del régimen de reembolso por operación no autorizada. Las acciones de repetición o compensación entre proveedores no deben perjudicar al usuario.
5. La demanda
La demanda debe construirse sobre tres capas. La primera es fáctica: cronología precisa, modalidad de fraude, operaciones, comunicaciones, respuesta bancaria, perjuicio. La segunda es normativa: artículos 41 a 46 y 59 del Real Decreto-Ley 19/2018, Reglamento Delegado 2018/389, artículo 5 quater cuando proceda, normativa de consumo si aplica y contrato marco. La tercera es probatoria: identificar qué debe probar la entidad y qué indicios revelan deficiencia del servicio.
Conviene formular pretensiones acumuladas con prudencia: devolución del importe sustraído; intereses desde el adeudo o desde la reclamación, según fundamento; comisiones y gastos; daños complementarios si se acreditan; eliminación de cargos o deuda; y, en su caso, indemnización por inclusión indebida en ficheros de solvencia. La petición de intereses debe argumentarse aunque el artículo 45 ordena restituir la cuenta al estado anterior, con fecha de valor no posterior a la fecha de adeudo, lo que refuerza la reclamación de los efectos económicos de la salida indebida.
6. Prueba documental y tecnológica
La documental del actor debe incluir contrato o extractos de cuenta, justificantes de operaciones, pantallazos, SMS, correos, registros de llamadas, denuncia, comunicaciones al banco, respuestas de la entidad, reclamación al Banco de España, informes de operador telefónico si hay SIM swapping, y cualquier prueba de hábitos de uso.
La prueba en poder del banco debe solicitarse con precisión. En fase de diligencias preliminares o en la propia demanda, según proceda, puede pedirse exhibición de registros técnicos. Si la entidad invoca secreto de seguridad, el juzgado puede modular la exhibición, pero no aceptar una opacidad incompatible con la carga probatoria legal. No se trata de revelar arquitectura sensible sino de acreditar cómo se autorizó, registró y monitorizó la operación discutida.
La pericial informática puede ser útil en determinados casos, pero en la inmensa mayoría no imprescindible. En muchos casos, el núcleo es jurídico-probatorio: el banco no ha acreditado autorización ni ausencia de deficiencia. No obstante, en fraudes complejos —malware, SIM swap, tokenización, MITM empresarial— una pericial puede explicar la plausibilidad técnica del engaño, la insuficiencia de controles o la anormalidad del patrón transaccional.
XII. Daños complementarios, ficheros de solvencia y protección del crédito reputacional
El fraude bancario no siempre se agota en la pérdida directa. A veces la entidad carga comisiones, intereses de descubierto, cuotas de préstamo, penalizaciones o incluso reclama al cliente saldos derivados del fraude. En ocasiones, si el cliente se niega a pagar una deuda discutida, se produce inclusión en ficheros de solvencia patrimonial. La defensa debe anticipar este riesgo.
La inclusión en sistemas de información crediticia exige deuda cierta, vencida, exigible e impagada, además de cumplimiento de requisitos de información y proporcionalidad. Una deuda nacida de operaciones impugnadas por fraude bancario y sometida a reclamación seria difícilmente puede tratarse como pacífica. La inclusión precipitada puede vulnerar el derecho al honor y generar daño moral indemnizable.
La doctrina civil y jurisprudencia sobre ficheros de morosos ha resaltado que estos sistemas no pueden utilizarse como mecanismo de presión para cobrar deudas controvertidas.
En la práctica, si el banco incluye al afectado por un saldo resultante del fraude, la demanda puede acumular -cuando proceda- acción de cancelación, declaración de intromisión ilegítima e indemnización. También puede interesarse medida cautelar de exclusión o suspensión de comunicación de datos, especialmente si el cliente es profesional o empresa y la reputación crediticia resulta esencial.
Los daños complementarios deben probarse. El daño moral por inclusión indebida en ficheros tiene una línea jurisprudencial propia, pero no conviene inflar pretensiones sin base. En cambio, gastos bancarios, comisiones, intereses, coste de financiación alternativa, lucro cesante empresarial o pérdida de oportunidad pueden reclamarse si existe documentación suficiente y nexo causal.
XIII. Conclusiones
Primera. El fraude bancario digital es una litigiosidad de sistema, no de anécdota. Su expansión obliga a leer los servicios de pago desde la distribución profesional del riesgo y no desde la culpabilización automática de la víctima.
Segunda. El régimen vigente distingue autenticación y autorización. La operación formalmente autenticada puede ser no autorizada si el usuario niega haber prestado consentimiento real a la disposición ejecutada. El registro de uso del instrumento no basta.
Tercera. El proveedor soporta una carga probatoria reforzada. Debe probar autenticación, registro exacto, contabilización, ausencia de fallo técnico u otra deficiencia del servicio y, si lo invoca, fraude o negligencia grave del usuario.
Cuarta. La responsabilidad del proveedor en operaciones no autorizadas es cuasi objetiva en el sentido precisado por la STS 571/2025. El reembolso inmediato es la regla; la exoneración exige prueba cualificada.
Quinta. La negligencia grave del usuario no se presume por haber sido engañado ni por la mera sustracción de credenciales. Debe acreditarse una infracción palmaria, causal y cualificada de deberes razonables.
Sexta. El estándar del banco es el del profesional experto, el bonus argentarius. La diligencia exigible incluye no solo autenticación reforzada, sino monitorización transaccional, reacción ante anomalías, información eficaz y bloqueo razonable.
Séptima. En transferencias, la regla del identificador único explica la jurisprudencia anterior, pero no debe extrapolarse sin matices al nuevo escenario de verificación del beneficiario.
Octava. Desde el 9 de octubre de 2025, para proveedores radicados en Estados miembros cuya moneda es el euro, el artículo 5 quater del Reglamento (UE) 2024/886 introduce un deber gratuito de verificación IBAN-titular antes de la autorización. Su incumplimiento, si causa ejecución defectuosa, genera derecho de reembolso sin demora.
Novena. La defensa del afectado debe ser probatoria desde el primer minuto: comunicación inmediata, denuncia, reclamación escrita, conservación de evidencias, solicitud de registros y construcción de una demanda centrada en la carga legal del banco.
Décima. El proceso penal ayuda a investigar, pero no sustituye la acción civil. La reparación efectiva suele depender de exigir al proveedor de servicios de pago el cumplimiento de su propio régimen de responsabilidad.
Undécima. La inclusión en ficheros de solvencia por deudas derivadas del fraude puede agravar el daño y abrir una vía indemnizatoria autónoma si la deuda era controvertida o no exigible.
Duodécima. La evolución europea —verificación del beneficiario, futura reforma PSD3/PSR y mayor atención a fraudes de suplantación— confirma una tendencia normativa inequívoca: la seguridad del pago digital no es una carga privada del usuario, sino una función profesional del ecosistema de pagos.
Imagen de Mohamed Hassan en Pixabay
