PHISHING BANCARIO Y STJUE 15 DE OCTUBRE 2026: UN CAMBIO DE PARADIGMA EN LA PROTECCIÓN DEL CONSUMIDOR

Magistrada y doctora en derecho.

Para comenzar recordaremos que el phishing es una técnica de suplantación de identidad mediante la cual los ciberdelincuentes se hacen pasar por bancos, instituciones o empresas conocidas (como correos, redes sociales o servicios de mensajería) para robar datos personales, credenciales o dinero.

            El phishing se ha convertido en una de las formas más frecuentes de ciberdelincuencia que afectan a los consumidores españoles. Las técnicas empleadas por los delincuentes son cada vez más sofisticadas y utilizan mecanismos de ingeniería social capaces de engañar incluso a usuarios experimentados. Correos electrónicos aparentemente legítimos, mensajes SMS que simulan proceder del banco (smishing) o llamadas telefónicas fraudulentas (vishing) forman parte ya de una realidad cotidiana.

            Ya conozco varios casos de amigos que han recibido llamadas teléfonicas sobre operaciones bancarias y que incluso han caído en la trampa. No solo enlaces, mensajes en el móvil también llamadas que te invitan a realizar operaciones por seguridad pero que en realidad tienen por finalidad la cooperación necesaria del titular de la cuenta para la ejecución del fraude.

            Estas prácticas han sido denunciadas en los tribunales pero hasta la STJUE de 15 de octubre de 2026 era el cliente quien tras varias quejas debía interponer denuncia o demanda. En definitiva la víctima era sospechosa cuanto menos de negligencia.

            Durante años, las víctimas de fraudes bancarios mediante phishing se han encontrado con una respuesta recurrente por parte de muchas entidades financieras: la negativa a devolver los fondos sustraídos bajo el argumento de que el propio cliente había actuado con negligencia al facilitar sus claves o credenciales de acceso.

            La Sentencia del Tribunal de Justicia de la Unión Europea (TJUE), Sala Primera, de 15 de octubre de 2026, asunto C‑70/25 (Tukowiecka), supone un importante punto de inflexión en esta materia. El Tribunal establece una doctrina clara: el banco está obligado a reembolsar inmediatamente el importe de una operación de pago no autorizada, incluso cuando considere que el cliente ha incurrido en negligencia grave.

            La cuestión de quién debe soportar definitivamente la pérdida económica se examinará después y por los cauces jurídicos correspondientes.

            El litigio, que da origen a la sentencia, tiene su origen en Polonia. Una usuaria que vendía un artículo a través de una plataforma de compraventa recibió un enlace fraudulento enviado por un supuesto comprador. El enlace conducía a una página que imitaba la web de su entidad bancaria. Tras introducir sus credenciales y facilitar posteriormente un código de autenticación obtenido mediante engaño, un tercero transfirió aproximadamente 700 euros desde su cuenta.

            Al día siguiente, la cliente comunicó el fraude al banco. Sin embargo, la entidad rechazó el reembolso alegando que la usuaria había incumplido su deber de custodia de los elementos de seguridad personalizados.

            El órgano jurisdiccional polaco planteó entonces una cuestión prejudicial relativa a la interpretación de la Directiva (UE) 2015/2366, conocida como PSD2 (Payment Services Directive 2) o Segunda Directiva de Servicios de Pago, que regula los servicios de pago en la Unión Europea.

La pregunta era sencilla, pero de enorme trascendencia práctica:

¿Puede una entidad bancaria negarse a devolver inmediatamente el importe de una operación no autorizada alegando que el cliente actuó con negligencia grave?

Preguntaba si los artículos 73.1 y 74.1 de la Directiva 2015/2366 permiten que un proveedor de servicios de pago deniegue la devolución inmediata al ordenante cuando estime que éste, por negligencia grave, facilitó la operación. La respuesta del TJUE es rotunda: no.

La doctrina del TJUE: se resume en primero se devuelve, después se discute

            El Tribunal diferencia claramente dos planos jurídicos que hasta ahora muchas entidades trataban conjuntamente:

            1. La obligación de reembolso inmediato

Cuando una operación de pago es considerada no autorizada, la entidad financiera debe restituir el importe sin demora injustificada y, en todo caso, antes de finalizar el día hábil siguiente a la notificación o detección del fraude.

            2. La atribución definitiva de la pérdida

Otra cuestión distinta es determinar quién debe soportar finalmente el perjuicio económico.

El TJUE entiende que la eventual negligencia grave del usuario puede ser relevante para la distribución final de las pérdidas, pero no autoriza al banco a retener el reembolso inicial. Si la entidad considera que el cliente incumplió gravemente sus obligaciones de seguridad, deberá demostrarlo posteriormente y, en su caso, ejercitar las acciones correspondientes para recuperar las cantidades abonadas.

 Todo ello con una  excepción, esto es, cuando la entidad financiera tenga motivos razonables para sospechar que el propio cliente ha cometido un fraude; y cuando dicha sospecha haya sido comunicada a la autoridad competente.

Fuera de este supuesto excepcional, el reembolso debe efectuarse de forma inmediata.

            España figura desde hace años entre los países europeos más afectados por delitos informáticos relacionados con la obtención fraudulenta de credenciales bancarias. La creciente digitalización de los servicios financieros ha multiplicado los riesgos para los consumidores.

El esquema suele repetirse: el delincuente suplanta la identidad de una entidad bancaria, empresa de mensajería, administración pública o plataforma de compraventa. La víctima recibe un mensaje que genera una sensación de urgencia. Se le dirige a una página web falsa prácticamente idéntica a la auténtica. Introduce sus claves o códigos de seguridad. Los ciberdelincuentes realizan transferencias o pagos no autorizados.

La sofisticación actual de estos ataques hace que la frontera entre un error del usuario y una actuación razonablemente diligente resulte cada vez más difícil de determinar.

Nos interesa destacar como impacta esta doctrina en el Derecho español ya que tendrá una influencia directa en la interpretación de: el Real Decreto-ley 19/2018, de servicios de pago; la normativa de transposición de la PSD2; la jurisprudencia relativa a fraudes bancarios por phishing, smishing y vishing.

            La responsabilidad derivada de estas operaciones se encuentra regulada principalmente en el Real Decreto-ley 19/2018, de servicios de pago. La norma distingue entre:

operaciones autorizadas por el usuario;

operaciones no autorizadas;

supuestos de fraude o negligencia grave del cliente.

Hasta ahora, muchas entidades financieras interpretaban que la mera introducción de claves en una página fraudulenta constituía negligencia grave suficiente para rechazar directamente el reembolso.

Ello generó una intensa litigiosidad ante Juzgados y Audiencias Provinciales, con resoluciones frecuentemente contradictorias. Numerosos litigios giran precisamente en torno a la alegación bancaria de «negligencia grave» del usuario. La sentencia del TJUE obliga a replantear estrategias procesales que hasta ahora trasladaban al consumidor la carga y el coste temporal de reclamar judicialmente la devolución de los fondos sustraídos.

            A partir de esta resolución, la carga operativa inicial recae sobre la entidad financiera, que deberá devolver el dinero y, si considera acreditada la negligencia grave del cliente, acudir posteriormente a los tribunales.

De este modo se refuerza el principio de protección del usuario de servicios financieros y se clarifica la interpretación de los artículos 73 y 74 de la PSD2. Además evita que los consumidores soporten durante meses o años el perjuicio económico mientras se discute la responsabilidad.

Desde el punto de vista procesal obliga a distinguir entre el derecho al reembolso inmediato y la eventual responsabilidad final del usuario y se favorece una aplicación uniforme del Derecho de la Unión en todos los Estados miembros.

La doctrina del TJUE influirá directamente en los tribunales españoles y previsiblemente reforzará una tendencia ya observable en numerosas resoluciones judiciales:

            1.- Exigencia de prueba rigurosa de la negligencia grave.

            2.- Interpretación restrictiva de dicha negligencia.

            3.- Protección reforzada del consumidor financiero.

            4.- Análisis de las medidas de seguridad implementadas por la propia entidad bancaria.

Los tribunales deberán valorar no solo la conducta del cliente sino también si el banco implementó mecanismos eficaces de autenticación reforzada, sistemas de detección de fraude y alertas adecuadas.

Esto traerá consecuencias prácticas para los consumidores ya que los usuarios afectados por phishing disponen de una posición jurídica más sólida.

Ante una transferencia fraudulenta conviene:

1.- Comunicar inmediatamente la incidencia al banco.

2.- Formular denuncia ante Policía Nacional o Guardia Civil.

3.- Conservar capturas de pantalla, mensajes y correos recibidos.

4.- Solicitar formalmente el reembolso de la operación no autorizada.

5.- Reclamar ante el Servicio de Atención al Cliente de la entidad y, en su caso, ante el Banco de España.

La existencia de un engaño sofisticado o de técnicas avanzadas de ingeniería social puede resultar especialmente relevante en la valoración posterior de una eventual negligencia grave.

En definitiva la STJUE de 15 de octubre de 2026 no convierte al banco en responsable automático de todos los fraudes de phishing. Lo que hace es algo más sutil, pero jurídicamente trascendente: reordenar la secuencia de responsabilidades.

La víctima de una operación no autorizada deja de verse obligada a demostrar desde el primer momento que actuó diligentemente para recuperar su dinero. El banco debe restituir los fondos y, solo después, si considera que existió negligencia grave, será él quien deba acreditar esa circunstancia.

En una época en la que las técnicas de ingeniería social son cada vez más complejas y difícilmente distinguibles por usuarios medios, esta sentencia constituye un importante avance en la protección efectiva de los consumidores y redefine el equilibrio entre seguridad bancaria y responsabilidad del usuario.

La regla europea es ahora clara: primero reembolsar, después discutir quién debe soportar la pérdida.

En Sevilla a nueve de noviembre de dos mil veintiséis.