Estafa por phishing en el banco: ¿me tienen que devolver el dinero?

Lo que pasó

Un cliente de Ibercaja que vivía en Zaragoza empezó a recibir avisos de Google sobre accesos extraños a su correo electrónico. Poco después le llegaron mensajes SMS de transferencias que él no había ordenado. Hizo lo que cualquiera debería hacer: avisó al banco enseguida, y lo repitió varias veces.

Un mes más tarde descubrió el desastre: cargos y envíos por Bizum por unos 83.000 euros. El dinero había ido a parar a cuentas de delincuentes conocidos por la Policía. Para conseguirlo, alguien había obtenido en Murcia un duplicado de la tarjeta SIM del móvil de su esposa, lo que le permitía recibir los códigos de seguridad.

El banco devolvió unos 27.000 euros, pero se negó a devolver el resto. Su argumento: las operaciones habían pasado la doble verificación y no era asunto suyo averiguar si las había hecho el cliente o un tercero.

Qué dijo el tribunal

El cliente ganó en el juzgado y en la Audiencia Provincial de Zaragoza. El banco recurrió y el Tribunal Supremo, en su sentencia 571/2025, de 9 de abril de 2025, rechazó el recurso. Ibercaja tuvo que devolver los más de 83.000 euros, con intereses, y pagar las costas.

Las ideas principales de la sentencia, según la información publicada, son:

• Usar las claves correctas no es lo mismo que dar permiso. El consentimiento tiene que ser real y consciente. Si el cliente niega haber autorizado una operación, no se puede dar por hecho que la autorizó.
• La prueba corresponde al banco. Es el banco quien debe demostrar que el cliente autorizó la operación, que su sistema funcionó bien y que el cliente fue gravemente descuidado o actuó con engaño.
• El cliente fue diligente: avisó de inmediato y varias veces.
• El banco no reaccionó: no tuvo en cuenta los avisos ni tomó medidas para detectar el fraude.
• No valen las cláusulas que eximen al banco de responder ante fraudes informáticos.

Qué significa para ti

La ley de servicios de pago, que aplica una directiva europea, protege mucho al cliente frente a cargos que no ha autorizado. La regla general es que el banco debe devolver el dinero, salvo que demuestre que el cliente actuó con fraude o con un descuido grave, por ejemplo, dar voluntariamente sus claves a un desconocido sin ninguna precaución. Fuera de esos casos, la parte que puede quedar a cargo del cliente está limitada por ley.

Esto no significa que todos los casos de phishing terminen igual. Los tribunales miran cómo se produjo el engaño, qué hizo el cliente y qué hizo el banco. Por eso avisar pronto y poder demostrarlo es tan importante.

Qué hacer si te pasa

• Bloquea tarjetas y banca en línea en cuanto notes algo raro y llama al banco. Después, confirma el aviso por escrito o por la aplicación y guarda el justificante.
• Comunica cada operación que no reconozcas sin demora. La ley fija un tope de 13 meses desde el cargo, pero cuanto antes, mejor.
• Denuncia ante la Policía o la Guardia Civil y guarda copia.
• Guarda pruebas: capturas de SMS, correos, llamadas, avisos de acceso y extractos.
• Si tu móvil se queda de repente sin cobertura, pregunta a tu operadora si se ha emitido un duplicado de tu SIM.
• Presenta una reclamación por escrito al servicio de atención al cliente del banco. Si la rechaza o no contesta, puedes acudir al Banco de España o a los tribunales con la ayuda de un abogado o experto en la materia.

Cada caso depende de sus circunstancias y sus documentos.

Fuente: Tribunal Supremo, Sala de lo Civil, sentencia 571/2025, de 9 de abril de 2025, según la información publicada por Economist & Jurist.