Fraude bancario por phishing: el banco debe devolver el dinero aunque alegue negligencia

Cuando un cliente sufre un cargo que no ha autorizado, su banco debe devolverle el dinero de inmediato, aunque considere que el cliente cometió una negligencia grave al facilitar sus claves. Así lo ha establecido el Tribunal de Justicia de la Unión Europea (TJUE) en una sentencia de 15 de octubre de 2026 (asunto C-70/25). La decisión interpreta la directiva europea de servicios de pago, que se aplica también en España.

El caso

Una clienta de un banco polaco había puesto un objeto a la venta en una plataforma de internet. Un supuesto comprador le envió un enlace falso, que parecía de la plataforma, para «confirmar la venta». El enlace la llevó a una página que imitaba la de su banco, donde introdujo sus claves de banca electrónica. Con ellas, el estafador transfirió unos 700 euros a su propia cuenta. Al día siguiente, la clienta avisó al banco, que se negó a devolver el dinero porque, a su juicio, ella había sido gravemente negligente al no proteger sus credenciales.

Qué ha decidido el Tribunal

El TJUE separa dos cuestiones: la devolución del dinero y quién debe soportar al final la pérdida.

• Primero, devolver: ante una operación no autorizada, el banco debe reintegrar el importe como muy tarde al final del día hábil siguiente a aquel en que lo detecta o se le comunica, siempre que el cliente avise sin demoras injustificadas.
• Única excepción: que el banco tenga motivos razonables para sospechar que el fraude lo ha cometido el propio cliente y lo comunique por escrito a la autoridad nacional competente.
• Después, reclamar: si el banco considera que hubo negligencia grave, podrá pedir al cliente que le reembolse las pérdidas, pero es el banco quien tiene que probarla.

El tribunal explica que permitir al banco negarse de entrada obligaría al cliente a iniciar un procedimiento para recuperar su dinero, con los costes y molestias que eso supone, y vaciaría de contenido la obligación de devolución inmediata.

A quién afecta

A cualquier cliente de un banco o entidad de pago de la Unión Europea, incluidos los españoles, que sea víctima de fraudes como el phishing (correos o mensajes falsos), el smishing (SMS) o las páginas web que imitan las del banco. Los jueces españoles deben aplicar esta interpretación en casos similares.

Qué hacer si le ocurre

• Avise a su banco en cuanto detecte el cargo y bloquee tarjetas y accesos.
• Pida por escrito la devolución del importe y guarde copia de la comunicación.
• Denuncie los hechos ante la Policía o la Guardia Civil y conserve los mensajes, enlaces y capturas.
• Si el banco no responde o se niega, puede reclamar ante su servicio de atención al cliente y, después, ante el Banco de España.
• Un abogado o experto en derecho bancario puede ayudarle si el banco insiste en no devolver el dinero.

Fuente: Tribunal de Justicia de la UE, comunicado 147/26, 15 de octubre de 2026

¿Te afecta?

Puedes preguntar gratis en el foro, ver las preguntas de Bancos e hipotecas o buscar casos parecidos en la guía jurídica. Si quieres que un abogado estudie tu caso, pide una consulta personal (50 € + IGIC).