El phishing, el smishing, el vishing y la duplicaci\u00f3n de tarjetas SIM llevan a\u00f1os causando p\u00e9rdidas millonarias a clientes de la banca digital. Durante mucho tiempo, la respuesta habitual de las entidades ante una reclamaci\u00f3n era ampararse en que la operaci\u00f3n hab\u00eda sido autenticada, las claves se hab\u00edan introducido correctamente y el c\u00f3digo de confirmaci\u00f3n hab\u00eda sido validado. Por tanto, el problema reca\u00eda en el cliente.<\/p>\n
Esa forma de enfocar el conflicto ya ven\u00eda debilit\u00e1ndose en los tribunales. Pero la Sentencia del Tribunal Supremo, Sala de lo Civil, n\u00ba 571\/2025, de 9 de abril de 2025, ha supuesto un punto de inflexi\u00f3n.<\/p>\n
Seg\u00fan la sentencia, la autenticaci\u00f3n formal de una operaci\u00f3n no basta, por s\u00ed sola, para acreditar que el cliente la autoriz\u00f3. Si el usuario niega haber consentido el pago, corresponde a la entidad demostrar que la operaci\u00f3n fue autenticada, pero tambi\u00e9n que no existi\u00f3 fallo t\u00e9cnico ni otra deficiencia del servicio, y que el cliente actu\u00f3 de forma fraudulenta o con negligencia grave.<\/p>\n
El asunto resuelto por el Supremo parte de un fraude sofisticado. El cliente hab\u00eda advertido previamente a la entidad de movimientos y mensajes sospechosos. D\u00edas despu\u00e9s, los delincuentes duplicaron la tarjeta SIM de su c\u00f3nyuge y, durante una sola noche, ejecutaron numerosas transferencias y operaciones Bizum por m\u00e1s de 83.000 euros. La alerta definitiva no procedi\u00f3 del propio sistema de la entidad, sino de otro banco que detect\u00f3 una cuenta receptora sospechosa.<\/p>\n
El Supremo desestim\u00f3 el recurso de la entidad bancaria y confirm\u00f3 la condena a devolver las cantidades sustra\u00eddas. Pero lo relevante no est\u00e1 solo en el resultado, sino en la doctrina que fija. El TS interpreta el Real Decreto-ley 19\/2018, de 23 de noviembre, de Servicios de Pago, en l\u00ednea con la normativa europea, y recuerda que el proveedor de servicios de pago no puede limitarse a decir que el sistema funcion\u00f3 o que se usaron las claves correctas.<\/p>\n
La doctrina del Supremo no ha tardado en proyectarse sobre resoluciones posteriores. Las Audiencias Provinciales est\u00e1n aplicando esa misma l\u00f3gica a fraudes cada vez m\u00e1s sofisticados, en los que el cliente no siempre puede distinguir con facilidad entre una comunicaci\u00f3n leg\u00edtima y una suplantaci\u00f3n cuidadosamente construida.<\/p>\n
La Sentencia de la Audiencia Provincial de Madrid, Secci\u00f3n 14\u00aa, n.\u00ba 133\/2026, de 17 de abril de 2026, conden\u00f3 a una entidad bancaria por tres transferencias realizadas en un intervalo muy breve, a favor del mismo beneficiario, con conceptos sin sentido y dejando la cuenta pr\u00e1cticamente vac\u00eda. La Audiencia valor\u00f3 especialmente que otra entidad s\u00ed hab\u00eda detectado intentos fraudulentos similares y hab\u00eda bloqueado la operativa, por lo que consider\u00f3 que el fraude pod\u00eda haberse detectado con los mecanismos adecuados.<\/p>\n
La Sentencia de la Audiencia Provincial de Pontevedra, Secci\u00f3n 6\u00aa, n.\u00ba 340\/2026, de 20 de abril de 2026, va un paso m\u00e1s all\u00e1. La clienta recibi\u00f3 un SMS aparentemente enviado por su banco, integrado en el hilo real de mensajes de la entidad, y despu\u00e9s una llamada desde un n\u00famero oficial en la que el interlocutor se present\u00f3 como empleado del servicio de fraudes. La Audiencia rechaz\u00f3 que esa conducta pudiera calificarse como negligencia grave, ya que el enga\u00f1o estaba dise\u00f1ado para generar confianza y simular una actuaci\u00f3n leg\u00edtima del banco.<\/p>\n
La tendencia que se observa es que los tribunales est\u00e1n dejando atr\u00e1s una visi\u00f3n puramente formal de la seguridad bancaria. La pregunta ya no es solo si se introdujeron correctamente unas claves, sino si la operaci\u00f3n ten\u00eda sentido, si encajaba con el comportamiento habitual del cliente, si exist\u00edan se\u00f1ales de alerta y si la entidad puede demostrar que actu\u00f3 con la diligencia exigible.<\/p>\n
La STS 571\/2025 no tiene por qu\u00e9 interpretarse como una amenaza para la banca, sino como una referencia \u00fatil para adaptar sus protocolos y una orientaci\u00f3n sobre qu\u00e9 esperan los tribunales.<\/p>\n
A partir de esta sentencia, las entidades deber\u00edan poder responder a varias preguntas b\u00e1sicas: \u00bfla operaci\u00f3n encajaba con el comportamiento habitual del cliente?, \u00bfexist\u00edan alertas previas?, \u00bfse generaron se\u00f1ales internas de riesgo?, \u00bfpor qu\u00e9 no se bloque\u00f3 la operaci\u00f3n?, \u00bfpuede reconstruirse t\u00e9cnicamente lo ocurrido?<\/p>\n
El Supremo menciona factores como la reiteraci\u00f3n de transferencias, el horario, el importe, los destinatarios o los antecedentes de uso de la cuenta. Para una entidad financiera, esto exige sistemas de monitorizaci\u00f3n capaces de detectar operaciones encadenadas, importes inusuales, vaciados de cuenta, destinatarios nuevos o movimientos realizados en horarios impropios del perfil del cliente.<\/p>\n
Tambi\u00e9n ser\u00e1 clave la gesti\u00f3n de alertas previas. Si el cliente comunica SMS sospechosos, cargos no autorizados o sospechas de uso indebido de sus claves, no basta con dejar constancia, y deber\u00e1n activarse los protocolos de seguridad correspondientes.<\/p>\n
Detr\u00e1s de estas resoluciones hay un cambio de enfoque. Durante a\u00f1os, muchas defensas se han construido sobre la idea de que, si se usaron las credenciales correctas, el cliente deb\u00eda asumir las consecuencias.<\/p>\n
Tras la STS 571\/2025 el consentimiento no se presume autom\u00e1ticamente por el uso de claves, c\u00f3digos o doble factor de autenticaci\u00f3n. Puede haber una operaci\u00f3n t\u00e9cnicamente validada y, al mismo tiempo, no autorizada por el cliente.<\/p>\n
El cliente sigue teniendo obligaciones de custodiar sus credenciales, actuar con prudencia y comunicar sin demora cualquier operaci\u00f3n sospechosa. Pero en fraudes sofisticados, con mensajes integrados en canales aparentemente oficiales y llamadas que simulan proceder del banco, los tribunales est\u00e1n siendo cautelosos antes de trasladar toda la p\u00e9rdida al usuario.<\/p>\n
Para el sector financiero, el verdadero reto est\u00e1 en anticiparse y en contar con sistemas capaces de detectar operaciones que se apartan del comportamiento habitual del cliente, protocolos que reaccionen ante se\u00f1ales tempranas, comunicaciones que reduzcan el margen de suplantaci\u00f3n y expedientes t\u00e9cnicos que permitan reconstruir cada operaci\u00f3n.<\/p>\n
La banca digital seguir\u00e1 siendo imprescindible, pero la confianza en sus canales exige algo m\u00e1s que autenticaci\u00f3n reforzada: prevenci\u00f3n inteligente, reacci\u00f3n r\u00e1pida y prueba s\u00f3lida cuando el conflicto llega a los tribunales.<\/p>\n","protected":false},"excerpt":{"rendered":"
El phishing, el smishing, el vishing y la duplicaci\u00f3n de tarjetas SIM llevan a\u00f1os causando p\u00e9rdidas millonarias a clientes de la banca digital. Durante mucho tiempo, la respuesta habitual de las entidades ante una reclamaci\u00f3n era ampararse en que la operaci\u00f3n hab\u00eda sido autenticada, las claves se hab\u00edan introducido correctamente y el c\u00f3digo de confirmaci\u00f3n hab\u00eda sido validado. Por tanto, el problema reca\u00eda en el cliente.<\/p>\n","protected":false},"featured_media":0,"template":"","tipo_articulo":[3181],"ambito_geografico":[],"boletin":[4467],"class_list":["post-40683","noticias_boletin","type-noticias_boletin","status-publish","hentry","tipo_articulo-articulo-de-opinion","boletin-julio-2026"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.lksnext.com\/es\/wp-json\/wp\/v2\/noticias_boletin\/40683","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.lksnext.com\/es\/wp-json\/wp\/v2\/noticias_boletin"}],"about":[{"href":"https:\/\/www.lksnext.com\/es\/wp-json\/wp\/v2\/types\/noticias_boletin"}],"wp:attachment":[{"href":"https:\/\/www.lksnext.com\/es\/wp-json\/wp\/v2\/media?parent=40683"}],"wp:term":[{"taxonomy":"tipo_articulo","embeddable":true,"href":"https:\/\/www.lksnext.com\/es\/wp-json\/wp\/v2\/tipo_articulo?post=40683"},{"taxonomy":"ambito_geografico","embeddable":true,"href":"https:\/\/www.lksnext.com\/es\/wp-json\/wp\/v2\/ambito_geografico?post=40683"},{"taxonomy":"boletin","embeddable":true,"href":"https:\/\/www.lksnext.com\/es\/wp-json\/wp\/v2\/boletin?post=40683"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}