Una persona descubre que se han realizado transferencias desde su cuenta bancaria sin su consentimiento. Comunica inmediatamente lo sucedido a su entidad, solicita la devolución del dinero y recibe una respuesta negativa: el banco considera que las operaciones se realizaron utilizando sus claves personales y que, por tanto, existió negligencia grave.
Esta situación, habitual en las reclamaciones por phishing bancario y operaciones de pago no autorizadas, plantea una cuestión fundamental: ¿puede una entidad financiera negarse a devolver el dinero alegando que el cliente no protegió adecuadamente sus credenciales?
La Sentencia del Tribunal de Justicia de la Unión Europea (TJUE) de 15 de octubre de 2026, asunto C-70/25, ofrece una respuesta especialmente relevante. El Tribunal establece que la posible negligencia grave del usuario no permite al banco eludir su obligación inicial de devolver inmediatamente el importe de una operación no autorizada.
La resolución supone un avance significativo en la interpretación de la responsabilidad bancaria frente a los fraudes digitales y refuerza la posición jurídica de los clientes que reclaman la recuperación de fondos sustraídos mediante operaciones que no consintieron.
La evolución de la responsabilidad bancaria frente a las estafas digitales
Durante los últimos años, los tribunales españoles han venido examinando la responsabilidad de las entidades financieras cuando terceros consiguen acceder fraudulentamente a cuentas bancarias y realizar operaciones utilizando las credenciales de sus titulares.
Uno de los principales puntos de conflicto ha sido determinar quién debe asumir las consecuencias económicas de una operación ejecutada mediante sistemas de banca electrónica cuando el cliente niega haberla autorizado.
Tradicionalmente, muchas controversias se han centrado en la utilización de contraseñas, códigos de verificación o mecanismos de autenticación. Las entidades financieras han invocado estos elementos para sostener que las operaciones fueron correctamente autorizadas o que el usuario incumplió gravemente sus obligaciones de seguridad.
Sin embargo, la evolución jurisprudencial ha reforzado una distinción esencial: la autenticación técnica de una operación bancaria no equivale necesariamente a la autorización jurídica del cliente.
El hecho de que una transferencia se haya ejecutado utilizando credenciales válidas no demuestra, por sí solo, que su titular prestara consentimiento ni que actuara con negligencia grave.
Esta interpretación se relaciona directamente con el régimen de responsabilidad establecido por la normativa europea de servicios de pago y su transposición al ordenamiento español.
La doctrina del Tribunal Supremo sobre el phishing bancario
En España, la Sentencia del Tribunal Supremo 571/2025, de 9 de abril, constituye un pronunciamiento especialmente relevante en materia de responsabilidad bancaria por operaciones fraudulentas.
La resolución refuerza la protección de los usuarios de servicios de pago mediante un régimen de responsabilidad que la jurisprudencia caracteriza como cuasi objetiva, sin perjuicio de las excepciones legalmente previstas.
Esta doctrina parte de que las entidades financieras, como prestadoras de servicios de pago, asumen obligaciones específicas relacionadas con la seguridad de las operaciones y la acreditación de su correcta ejecución.
En particular, cuando el cliente niega haber autorizado una transferencia, no basta con acreditar que se utilizaron sus credenciales bancarias.
La entidad debe justificar los elementos exigidos por la normativa de servicios de pago y, cuando pretenda atribuir al usuario una conducta fraudulenta o gravemente negligente, aportar pruebas suficientes de las circunstancias que sustentan esa conclusión.
Por tanto, la negligencia grave del cliente en un fraude bancario no puede presumirse automáticamente por haber sido víctima de un engaño.
La sentencia del TJUE de octubre de 2026 profundiza en esta protección, pero introduce una precisión decisiva sobre el momento en que debe producirse la devolución del dinero.
Qué establece la sentencia del TJUE de 15 de octubre de 2026
La Sentencia del TJUE de 15 de octubre de 2026, dictada en el asunto C-70/25, conocido como Tukowiecka, interpreta los artículos 73 y 74 de la Directiva (UE) 2015/2366, relativa a los servicios de pago en el mercado interior.
El procedimiento tiene su origen en un fraude sufrido por una clienta de una entidad bancaria polaca.
La afectada había puesto a la venta un objeto en una plataforma de comercio electrónico. Un tercero, haciéndose pasar por un posible comprador, le remitió un enlace fraudulento que aparentemente permitía confirmar la operación.
Al acceder al enlace, la clienta fue dirigida a una página que reproducía la apariencia de la web de su banco. Allí introdujo sus credenciales de acceso a la banca electrónica.
El estafador utilizó posteriormente esos datos para transferir a su propia cuenta una cantidad equivalente a aproximadamente 700 euros.
La clienta comunicó el fraude a la entidad al día siguiente, pero el banco rechazó la devolución alegando que había actuado con negligencia grave al facilitar sus credenciales en una página fraudulenta.
El tribunal polaco planteó entonces una cuestión prejudicial al TJUE para determinar si esa supuesta negligencia permitía a la entidad financiera negarse a reintegrar inmediatamente el importe de la operación no autorizada.
La respuesta del Tribunal de Justicia fue negativa.
El banco debe devolver el dinero antes de discutir la negligencia del cliente
El TJUE establece que, cuando se produce una operación de pago no autorizada, el proveedor de servicios de pago debe devolver su importe inmediatamente y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado la operación o recibido su notificación, siempre que se cumplan las condiciones legales de comunicación.
Esta obligación no desaparece porque el banco considere que el usuario facilitó sus credenciales por negligencia grave.
La sentencia distingue dos cuestiones jurídicas que no deben confundirse:
- La obligación inicial de la entidad financiera de reintegrar el importe de una operación no autorizada.
- La determinación posterior de quién debe soportar definitivamente las pérdidas económicas derivadas del fraude.
Esta separación constituye el aspecto más importante del pronunciamiento.
El banco no puede convertir su propia apreciación sobre la conducta del cliente en una excepción adicional a la obligación de devolución inmediata.
Si posteriormente considera que existen motivos para atribuirle responsabilidad, deberá acudir a los mecanismos jurídicos correspondientes y acreditar los hechos en los que fundamenta su reclamación.
De este modo, la sentencia impide que la entidad financiera traslade inicialmente al usuario toda la carga económica del fraude por el simple hecho de sostener que existió negligencia grave.
Cuándo puede el banco negarse a realizar la devolución inmediata
La obligación de devolución no es absolutamente incondicional.
El artículo 73.1 de la Directiva (UE) 2015/2366 contempla una excepción cuando el proveedor de servicios de pago tiene motivos razonables para sospechar que el propio usuario ha cometido un fraude y comunica esos motivos por escrito a la autoridad nacional competente.
En España, esta regulación se encuentra recogida en el artículo 45 del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago.
La norma establece que, en caso de operación no autorizada, el proveedor debe devolver el importe de inmediato y, como máximo, al final del siguiente día hábil, salvo cuando concurran los presupuestos legales de sospecha razonable de fraude y se efectúe la correspondiente comunicación escrita al Banco de España.
Es importante distinguir entre dos situaciones:
- Que existan motivos razonables para sospechar que el propio cliente ha cometido un fraude.
- Que el banco considere que el cliente fue negligente al proteger sus credenciales.
La sentencia del TJUE aclara que la segunda circunstancia no permite, por sí sola, denegar la devolución inmediata.
En consecuencia, la sospecha de negligencia grave no equivale a la sospecha de fraude cometido por el usuario a efectos de esta excepción.
El régimen jurídico español puede consultarse en el Real Decreto-ley 19/2018, publicado en el Boletín Oficial del Estado.
La devolución inmediata no elimina la posible responsabilidad del cliente
Uno de los aspectos que requiere mayor precisión es que la sentencia europea no establece una exoneración absoluta de responsabilidad para las víctimas de phishing.
El TJUE diferencia entre la obligación inicial de devolución y la distribución definitiva de las pérdidas.
Una vez realizado el reintegro, el banco puede reclamar posteriormente al cliente las cantidades correspondientes si demuestra que este actuó fraudulentamente o incumplió deliberadamente o por negligencia grave sus obligaciones de seguridad, en los términos previstos por la normativa aplicable.
Por tanto, el reintegro inmediato de una operación no autorizada no significa necesariamente que el banco deba asumir definitivamente todas las pérdidas.
La diferencia radica en que la entidad no puede utilizar una alegación unilateral de negligencia grave para eludir su obligación inicial de devolución.
¿Quién debe demostrar que existió negligencia grave?
La carga de acreditar la negligencia grave corresponde al proveedor de servicios de pago.
Así se desprende de la normativa europea y española, y queda reforzado por la interpretación del TJUE.
En particular, el artículo 44 del Real Decreto-ley 19/2018 establece que, cuando el usuario niega haber autorizado una operación, corresponde al proveedor acreditar que fue autenticada, registrada y contabilizada correctamente y que no se vio afectada por fallos técnicos u otras deficiencias del servicio.
Además, el registro de la utilización del instrumento de pago no basta necesariamente para demostrar que la operación fue autorizada o que el usuario actuó fraudulentamente o con negligencia grave.
Esto resulta especialmente relevante en los fraudes mediante suplantación de identidad.
Por ejemplo, cuando una persona introduce sus credenciales en una página que reproduce fraudulentamente la web de su banco, será necesario analizar las circunstancias concretas del engaño antes de atribuirle una conducta gravemente negligente.
La sofisticación de la suplantación, las advertencias recibidas, el proceso de autenticación y las actuaciones del usuario pueden resultar relevantes para esa valoración.
La existencia de un engaño no excluye automáticamente toda negligencia grave, pero tampoco permite presumirla.
En el ámbito del Derecho Bancario y Financiero de IN DIEM, el análisis de estos conflictos exige diferenciar la prueba técnica de autenticación, el consentimiento del titular y los requisitos jurídicos para atribuirle responsabilidad.
Qué cambia para las víctimas de phishing y operaciones bancarias fraudulentas
La principal consecuencia práctica de la sentencia es el refuerzo de la posición del cliente frente a las negativas iniciales de devolución.
Hasta ahora, una situación recurrente consistía en que la entidad rechazara la reclamación argumentando que las operaciones se habían realizado mediante las claves del usuario o que este había validado algún mecanismo de autenticación.
En esos supuestos, el afectado podía verse obligado a iniciar una reclamación judicial para discutir la existencia de negligencia grave y recuperar las cantidades sustraídas.
La interpretación del TJUE impide que esa alegación constituya, por sí sola, un fundamento suficiente para incumplir la obligación legal de reintegro inmediato.
No se trata de una nueva obligación creada por la sentencia. El deber de devolución ya estaba previsto en la Directiva europea y en la legislación española.
La novedad consiste en que el Tribunal aclara expresamente que la eventual negligencia grave del cliente debe analizarse separadamente de la obligación inicial de devolución.
Esta interpretación tiene especial relevancia para las reclamaciones en las que el banco reconoce que existió una operación ejecutada por un tercero, pero pretende justificar la negativa al reintegro por la conducta de la víctima.
También obliga a prestar mayor atención a la motivación de las respuestas bancarias y a los elementos probatorios que sustentan la posición de la entidad.
En los supuestos de fraude bancario, phishing y operaciones no autorizadas, resulta esencial determinar quién inició realmente la operación, cómo se produjo el acceso a la cuenta y qué consentimiento prestó el titular.
No todas las estafas bancarias permiten exigir la devolución inmediata
La doctrina del TJUE debe aplicarse dentro de su ámbito jurídico específico.
La sentencia se refiere a operaciones de pago no autorizadas, no a cualquier pérdida económica sufrida como consecuencia de una estafa.
Esta distinción es especialmente importante en los fraudes de inversión y en determinados supuestos de ingeniería social.
Cuando el estafador realiza la transferencia sin consentimiento
Si un tercero obtiene fraudulentamente las credenciales de banca electrónica y ordena una transferencia sin consentimiento del titular, puede existir una operación de pago no autorizada.
En ese escenario, resulta aplicable el régimen específico de responsabilidad y devolución establecido en la normativa de servicios de pago, siempre que concurran sus presupuestos.
La utilización de credenciales válidas no resuelve por sí sola la cuestión de la autorización.
Cuando el cliente ordena personalmente una transferencia bajo engaño
La situación puede ser diferente cuando una persona, convencida por un estafador, ordena voluntariamente una transferencia desde su propia cuenta.
Esto ocurre, por ejemplo, cuando una víctima de una falsa plataforma de inversión decide transferir fondos creyendo que está realizando una inversión legítima.
Aunque el consentimiento pueda estar viciado por el engaño desde otras perspectivas jurídicas, no significa automáticamente que la transferencia constituya una operación no autorizada a efectos de la normativa de servicios de pago.
En estos supuestos pueden existir otras vías de reclamación o responsabilidades que deberán analizarse individualmente, pero no resulta correcto trasladar automáticamente la doctrina de la sentencia C-70/25.
La diferencia entre una transferencia ejecutada por un tercero y una transferencia ordenada por la propia víctima es determinante para definir la estrategia jurídica.
Esta cuestión también se relaciona con las distintas modalidades de engaño explicadas en nuestro artículo sobre phishing, smishing y vishing y las posibilidades de denunciar y recuperar el dinero.
Cómo reclamar al banco tras una operación de pago no autorizada
Cuando una persona detecta movimientos bancarios que no reconoce, la rapidez en la comunicación y la conservación de las pruebas pueden resultar determinantes.
La normativa española exige que el usuario comunique la operación no autorizada sin demora injustificada desde que tenga conocimiento de ella.
El artículo 43 del Real Decreto-ley 19/2018 establece, con carácter general, un plazo máximo de trece meses desde la fecha del adeudo para solicitar la rectificación, con las particularidades previstas cuando la entidad no haya facilitado la información exigida legalmente.
Este plazo máximo no debe confundirse con la obligación de comunicar el fraude sin demora injustificada.
Documentación relevante para la reclamación
Para analizar la responsabilidad de la entidad resulta conveniente conservar:
- Los extractos bancarios y justificantes de las operaciones discutidas.
- Los mensajes SMS, correos electrónicos, enlaces y comunicaciones relacionadas con el fraude.
- La documentación relativa a los sistemas de autenticación utilizados.
- Las comunicaciones remitidas al banco y las respuestas recibidas.
- La denuncia presentada ante las autoridades, cuando corresponda.
La reclamación debe identificar las operaciones no reconocidas, explicar las circunstancias del fraude y solicitar la aplicación del régimen legal correspondiente.
Si la entidad rechaza el reintegro, será necesario examinar los argumentos utilizados, la documentación técnica disponible y la posible aplicación de la doctrina del Tribunal Supremo y del TJUE.
En determinados casos también será conveniente solicitar información adicional sobre los accesos a la banca electrónica, los dispositivos utilizados, los registros de autenticación y las operaciones realizadas.
Qué ocurre si el banco ya ha rechazado la devolución
Una negativa previa de la entidad no significa necesariamente que la reclamación carezca de fundamento.
La sentencia C-70/25 ofrece un criterio especialmente relevante para examinar aquellas respuestas bancarias que justifican la falta de devolución inmediata únicamente en una supuesta negligencia grave del usuario.
Será necesario determinar si las operaciones eran realmente no autorizadas, cuándo fueron comunicadas, qué circunstancias invoca el banco y si concurrían los presupuestos legales que permitirían excepcionar la devolución inicial.
La reclamación puede requerir actuaciones extrajudiciales y, cuando resulte procedente, el ejercicio de acciones judiciales.
En cualquier caso, la viabilidad de la recuperación de los fondos dependerá de las circunstancias y pruebas de cada asunto.
Una interpretación europea que refuerza la protección de los clientes bancarios
La sentencia del TJUE de 15 de octubre de 2026 representa un avance relevante en la protección jurídica de los usuarios de servicios de pago.
Su importancia no reside en eliminar las obligaciones de seguridad de los clientes ni en establecer que todas las estafas deban ser asumidas económicamente por las entidades financieras.
El pronunciamiento aclara algo más concreto y jurídicamente decisivo: el banco no puede negar la devolución inmediata de una operación no autorizada por el mero hecho de atribuir negligencia grave al cliente.
La posible responsabilidad del usuario debe examinarse posteriormente y acreditarse conforme a las exigencias legales.
Esta interpretación refuerza el equilibrio entre las obligaciones de seguridad de los usuarios y las responsabilidades que corresponden a las entidades financieras como prestadoras profesionales de servicios de pago.
También pone de manifiesto la importancia de analizar cada fraude bancario desde su verdadera naturaleza jurídica, diferenciando las operaciones no autorizadas de aquellas transferencias que el propio cliente realizó bajo engaño.
Asesoramiento jurídico frente a la negativa del banco a devolver el dinero
Cuando una entidad financiera rechaza la devolución de una transferencia o un pago que el cliente afirma no haber autorizado, resulta necesario examinar tanto las circunstancias del fraude como la justificación jurídica de esa negativa.
En IN DIEM Abogados podemos estudiar la documentación bancaria, reconstruir el proceso de autenticación, valorar la posible existencia de negligencia grave y determinar si procede exigir la devolución de las cantidades sustraídas conforme a la normativa de servicios de pago y la jurisprudencia aplicable.
Desde nuestra área de fraude bancario y reclamaciones por operaciones no autorizadas, analizamos las posibilidades de reclamación extrajudicial y judicial frente a las entidades financieras, atendiendo a las particularidades de cada caso.
Preguntas frecuentes sobre la devolución del dinero por phishing bancario
¿Qué establece la sentencia del TJUE de 15 de octubre de 2026 sobre el phishing bancario?
La sentencia C-70/25 establece que el banco debe devolver, como regla general, el importe de una operación de pago no autorizada inmediatamente y, como máximo, al final del siguiente día hábil desde que tenga conocimiento de ella o reciba su notificación. La entidad no puede rechazar inicialmente la devolución alegando únicamente que el cliente actuó con negligencia grave.
¿Tiene el banco que devolverme el dinero si he sido víctima de phishing?
Si el fraude dio lugar a operaciones de pago no autorizadas y se cumplen los requisitos legales, la entidad debe proceder al reintegro conforme al artículo 45 del Real Decreto-ley 19/2018. Es necesario distinguir estas operaciones de las transferencias que el propio cliente haya ordenado bajo engaño, pues su tratamiento jurídico puede ser diferente.
¿Puede el banco negarse a devolver el dinero porque facilité mis claves a un estafador?
El hecho de haber facilitado credenciales mediante un engaño no permite, por sí solo, denegar la devolución inmediata de una operación no autorizada. El banco podrá examinar posteriormente si existió negligencia grave, pero deberá acreditar las circunstancias que fundamenten esa responsabilidad. La mera utilización de las claves no constituye prueba suficiente en todos los casos.
¿Cuánto tiempo tiene el banco para devolver una transferencia no autorizada?
La normativa establece la devolución inmediata y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que el banco haya observado la operación o recibido su notificación. Esta regla está sujeta a las condiciones legales y a la excepción prevista para supuestos de sospecha razonable de fraude cometido por el propio usuario, debidamente comunicada a la autoridad competente.
¿Qué ocurre si el banco demuestra posteriormente que actué con negligencia grave?
La devolución inicial no impide que la entidad reclame posteriormente las pérdidas que legalmente correspondan al cliente. Para ello deberá demostrar que el usuario incumplió deliberadamente o por negligencia grave sus obligaciones de seguridad, o que actuó fraudulentamente. La responsabilidad definitiva dependerá de las circunstancias acreditadas y de las disposiciones aplicables.
¿Quién debe probar la negligencia grave en una estafa bancaria?
Corresponde al proveedor de servicios de pago acreditar la negligencia grave que atribuya al cliente. El artículo 44 del Real Decreto-ley 19/2018 establece obligaciones probatorias específicas para las entidades cuando el usuario niega haber autorizado una operación. La autenticación mediante claves o códigos no demuestra automáticamente el consentimiento ni una conducta gravemente negligente.
¿Se aplica la sentencia del TJUE a las transferencias realizadas en falsas plataformas de inversión?
No necesariamente. Si el cliente ordenó personalmente las transferencias, aunque lo hiciera engañado por una plataforma fraudulenta, puede tratarse de operaciones autorizadas a efectos de la normativa de servicios de pago. La doctrina de la sentencia C-70/25 se refiere específicamente a operaciones no autorizadas. Ello no excluye que puedan existir otras vías de reclamación según las circunstancias del fraude.
¿Puedo reclamar si mi banco ya rechazó devolverme el dinero por phishing?
Sí. Una negativa previa puede ser objeto de revisión jurídica. Conviene examinar si las operaciones fueron realmente no autorizadas, qué argumentos utilizó el banco y si su decisión se fundamentó únicamente en una supuesta negligencia grave. La sentencia C-70/25 proporciona un criterio relevante para analizar estas denegaciones y valorar las posibles actuaciones extrajudiciales o judiciales.
¿Qué plazo tengo para reclamar una operación bancaria no autorizada?
El usuario debe comunicar la operación al banco sin demora injustificada desde que tenga conocimiento de ella. El artículo 43 del Real Decreto-ley 19/2018 establece, con carácter general, un plazo máximo de trece meses desde el adeudo para solicitar su rectificación, con excepciones relacionadas con el cumplimiento de los deberes de información de la entidad. Es recomendable actuar inmediatamente y conservar las pruebas del fraude.
¿Qué documentación necesito para reclamar al banco por una transferencia fraudulenta?
Resulta conveniente conservar los extractos bancarios, justificantes de las transferencias, mensajes SMS, correos electrónicos, enlaces fraudulentos, comunicaciones con la entidad y respuestas a las reclamaciones. También pueden ser relevantes los registros de autenticación y la denuncia presentada ante las autoridades. El análisis de esta documentación permite determinar si existió una operación no autorizada y valorar la responsabilidad bancaria.
Expertos en reclamaciones bancarias y productos financieros complejos
En IN DIEM Abogados prestamos asesoramiento y defensa jurídica a particulares, consumidores, inversores y empresas en procedimientos relacionados con participaciones preferentes, productos financieros complejos, reclamaciones bancarias, falta de información, error en el consentimiento y responsabilidad de entidades financieras.
Nuestro equipo interviene en asuntos que requieren una valoración detallada de la documentación bancaria, el perfil del cliente, el proceso de contratación y los riesgos del producto comercializado. En este tipo de procedimientos, el asesoramiento legal permite ordenar la prueba, valorar la viabilidad de la reclamación y diseñar una estrategia procesal adecuada.
- Reclamaciones por participaciones preferentes y productos financieros complejos.
- Acciones por error en el consentimiento y falta de información bancaria.
- Defensa de consumidores e inversores minoristas frente a entidades financieras.
- Análisis de contratos, órdenes de compra, test de conveniencia e idoneidad.
- Reclamaciones judiciales y extrajudiciales en materia bancaria y financiera.
Si necesita revisar una inversión bancaria, una reclamación por productos financieros complejos o una contratación realizada con una entidad financiera, puede contactar con nuestro equipo para recibir una primera valoración jurídica.
Atención presencial, online y urgente. Asistencia las 24 h.
IN DIEM Abogados presta asistencia jurídica presencial, online y urgente desde sus oficinas en Madrid, Sevilla, Málaga, Marbella, Estepona, Las Palmas de Gran Canaria, Almería y Huelva, ofreciendo cobertura a clientes de todo el territorio nacional.
El despacho cuenta con un equipo multidisciplinar integrado por abogados especializados y profesionales con experiencia en el ámbito judicial, fiscal, mercantil, tecnológico, penal, civil, administrativo y bancario, lo que permite abordar cada asunto desde una perspectiva técnica, estratégica y práctica.
Además, IN DIEM Abogados ofrece atención urgente cuando la naturaleza del asunto requiere una respuesta inmediata o una primera valoración rápida del caso.
¿Deseas saber algo más sobre Abogados IN Diem? Te dejamos este breve video de presentación…
Para algunos reconocimientos te dejamos este enlace.
Nos encontrará en Sevilla, Madrid, Las Palmas de Gran Canaria, Málaga, Tomares, Coria del Rio, Dos Hermanas, Mairena del Alcor, Estepona, Marbella, y Mairena del Aljarafe. Será un placer atenderle.
