El Supremo fija límites a la banca frente al phishing: responsabilidad reforzada y protección al usuario
El fenómeno del phishing continúa creciendo y afectando a miles de usuarios cada año. La técnica, definida por el Instituto Nacional de Ciberseguridad (INCIBE) como el envío de correos falsos que suplantan a entidades legítimas para robar datos, realizar cargos económicos o infectar dispositivos, se ha sofisticado hasta variantes especialmente peligrosas como el SIM swapping, mediante el cual los delincuentes duplican ilegalmente una tarjeta SIM para interceptar códigos de verificación de operaciones bancarias.
En este contexto, el pasado 9 de abril, la Sala Primera del Tribunal Supremo dictó la Sentencia 571/2025, considerada la resolución más relevante hasta la fecha en materia de estafas digitales y responsabilidad de las entidades financieras. Esta decisión marca un punto de inflexión en la protección de los consumidores frente a operaciones no autorizadas derivadas de la suplantación de identidad.
Una responsabilidad reforzada para la banca
La sentencia analiza el concepto de negligencia grave del usuario y determina que los bancos deben asumir la responsabilidad cuando no logran detectar y frenar operaciones sospechosas, incluso si se han utilizado las credenciales legítimas del cliente.
El Supremo señala que no basta con que la operación conste como correctamente registrada o autenticada: el uso de claves válidas no implica automáticamente que exista consentimiento. De acuerdo con esta doctrina, cuando un cliente niega haber autorizado una transferencia o detecta movimientos indebidos, corresponde al banco demostrar tres elementos fundamentales:
-
Que no hubo fallo técnico,
-
Que no existió una deficiente prestación del servicio,
-
Que el usuario actuó con negligencia grave.
El Alto Tribunal recalca que la diligencia exigible a las entidades financieras es la propia de un comerciante ordenado y experto. Esto implica activar alertas, bloquear operaciones atípicas y comprobar la autenticidad del comportamiento del cliente ante señales claras de fraude, como múltiples transferencias, importes elevados o movimientos realizados en horarios inusuales.
En consecuencia, si el banco no adopta estas medidas de seguridad o no reacciona con prontitud ante patrones anómalos, se considera que existe una prestación defectuosa del servicio, incluso aunque no se haya producido ningún error informático.
Impacto en las resoluciones de las audiencias provinciales catalanas
La línea marcada por el Tribunal Supremo ya está siendo aplicada por diversas audiencias provinciales en casos de estafas de phishing y SIM swapping. En Cataluña, varias resoluciones han condenado a entidades bancarias a reintegrar las cantidades sustraídas, entre ellas:
-
SAP Lleida 379/2025, de 16 de marzo de 2025: condena a CAIXABANK S.A. a 38.500 €, más los intereses legales procedentes.
-
SAP Lleida 435/2025, de 16 de junio de 2025: desestimación del recurso de apelación. Condena a BANCO SANTANDER S.A. a 6.570,11 €, más intereses legales y costas.
-
SAP Barcelona 7288/2025, de 26 de junio de 2025: condena a Banco Bilbao Vizcaya Argentaria SA a 3.649,50 €, más intereses legales y costas.
-
SAP Barcelona 8971/2025, de 24 de julio de 2025: condena a DEUTSCHE BANK SAE a 12.786,18 €, más el interés legal desde la fecha del cargo y la cantidad de 2.000 € en concepto de daño moral, más el interés legal incrementado en dos puntos, así como al pago de las costas.
Nuestro compromiso con la defensa de los usuarios afectados
Desde Cudós Consultors abordamos de manera integral los casos de estafas bancarias, phishing y operaciones no autorizadas. Analizamos cada situación de forma individual, valoramos la responsabilidad de la entidad financiera y ejercemos las acciones necesarias para recuperar las cantidades sustraídas.
Si necesitas información o has sido víctima de un fraude digital, nuestro equipo está a tu disposición.
Puede hacer clic sobre cada sentencia para consultarlas íntegramente:
