El phishing bancario sigue siendo uno de los fraudes digitales más frecuentes en España. Miles de usuarios de banca electrónica sufren cada año operaciones no autorizadas tras recibir mensajes fraudulentos que suplantan la identidad de su entidad financiera. La pregunta clave es siempre la misma: ¿quién asume la pérdida? La Audiencia Provincial de Madrid, en su sentencia de 17 de abril de 2026 (SAP M 4955/2026, ponente: Agustín Manuel Gómez Salcedo, ECLI:ES:APM:2026:4955), ha dado una respuesta contundente al confirmar la condena a una entidad bancaria a reembolsar 5.036 euros sustraídos mediante un fraude de tipo smishing, aplicando la doctrina fijada por el Tribunal Supremo en su sentencia 571/2025, de 9 de abril (ROJ: STS 1671/2025).
Este pronunciamiento refuerza una línea jurisprudencial ya consolidada: cuando el usuario niega haber autorizado una operación de pago, la carga de probar que actuó con fraude o negligencia grave recae sobre el banco, sin que basten sus registros técnicos internos para eximirse de responsabilidad.
Los hechos: phishing bancario mediante SMS fraudulento
La demandante, clienta de Caja Rural, recibió el 1 de marzo de 2021 un SMS fraudulento que imitaba las comunicaciones habituales de su entidad. Mediante esta técnica —conocida como smishing— los ciberdelincuentes lograron acceder a sus credenciales de banca electrónica y tomar el control de su cuenta.
Los días 4 y 5 de marzo de 2021 se ejecutaron tres transferencias no autorizadas de forma prácticamente consecutiva y en horarios reveladores de una operativa anómala, por importes de 1.997 €, 999 € y 2.040 €, sumando un total de 5.036 €. La clienta no había iniciado ni autorizado ninguna de estas operaciones.
Tras detectar el fraude, la víctima actuó con diligencia: reclamó de inmediato ante el Servicio de Atención al Cliente de la entidad, y tras la desestimación de su reclamación, acudió al Departamento de Conducta de Entidades del Banco de España. Agotadas las vías extrajudiciales sin obtener el reembolso, interpuso demanda civil por incumplimiento contractual.
La cuestión jurídica: ¿quién responde del phishing bancario?
El debate gira en torno a la aplicación de los artículos 44, 45 y 46 del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago, norma que transpone la Directiva (UE) 2015/2366 (PSD2) y que establece un régimen de responsabilidad específico para las operaciones de pago no autorizadas.
El artículo 45 consagra la regla general: en caso de que se ejecute una operación de pago no autorizada, el proveedor de servicios de pago debe devolver al ordenante el importe de la operación de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente. Esta obligación de reembolso inmediato solo cede en los supuestos del artículo 46.
El artículo 46 establece las excepciones: el ordenante soportará todas las pérdidas derivadas de operaciones no autorizadas únicamente si ha actuado de manera fraudulenta o por haber incumplido, deliberadamente o por negligencia grave, sus obligaciones de custodia del instrumento de pago y las credenciales de seguridad (art. 41). Además, el apartado 2 del artículo 46 añade una regla crucial: si el banco no exige autenticación reforzada de cliente, el ordenante solo responderá en caso de fraude propio.
En cuanto a la carga de la prueba, el artículo 44 impone al proveedor de servicios de pago la obligación de acreditar que la operación fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio. El mero registro de la utilización del instrumento de pago no basta, por sí solo, para demostrar que la operación fue autorizada.
La entidad bancaria se defendió alegando que las tres transferencias fueron correctamente autenticadas mediante un sistema de doble factor —introducción de dos posiciones aleatorias de la clave de firma y validación mediante códigos OTP enviados por SMS—, que no existió brecha de seguridad en sus sistemas, y que la clienta incurrió en negligencia grave al facilitar sus credenciales de acceso.
Qué dice la Audiencia Provincial de Madrid
La Sección 11.ª de la AP Madrid desestima íntegramente el recurso de apelación interpuesto por la entidad bancaria y confirma la condena al reembolso de los 5.036 euros. El tribunal aplica de forma expresa la doctrina del Tribunal Supremo (STS 571/2025, de 9 de abril de 2025, ponente: Manuel Almenar Belenguer), que constituye el pronunciamiento de referencia en materia de fraude digital bancario en España.
La sentencia se apoya en tres pilares fundamentales:
Primero: responsabilidad cuasi objetiva del banco. El régimen del RDL 19/2018 impone al proveedor de servicios de pago una responsabilidad de carácter cuasi objetivo. Notificada la existencia de una operación no autorizada, el banco debe responder salvo que acredite la existencia de fraude o negligencia grave del usuario. No se trata de una inversión de la carga de la prueba en sentido técnico, sino de un régimen especial que hace recaer sobre el profesional del servicio financiero la obligación de demostrar que el cliente fue responsable.
Segundo: insuficiencia de los registros internos del banco. La AP Madrid, citando textualmente la STS 571/2025, declara:
«El cumplimiento de las obligaciones relativas a la autenticación, registro y contabilización de la operación de pago no exime de responsabilidad al proveedor del servicio, sino que deberá acreditar además que la operación no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado, sin que el mero registro de la utilización del instrumento de pago baste para demostrar que la operación de pago fue autorizada por el ordenante, ni que éste haya actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave una o varias de sus obligaciones.»
En definitiva, los logs internos, certificaciones técnicas y registros generados unilateralmente por la entidad no constituyen prueba suficiente para exonerarse. La jurisprudencia exige una prueba cualificada que vaya más allá de la mera documentación generada por el propio banco.
Tercero: conducta diligente de la víctima. El tribunal analiza la actuación de la demandante y concluye que actuó «inducida por un engaño complejo, sin iniciativa propia, y con la diligencia exigible a una persona media». Las actuaciones posteriores de la clienta —reclamación inmediata, denuncia, recurso ante el Banco de España— revelan una conducta orientada a mitigar el daño, incompatible con la negligencia grave que el artículo 46 exige para trasladar la responsabilidad al usuario.
Doctrina establecida: la STS 571/2025 como referencia
La sentencia del Tribunal Supremo de 9 de abril de 2025 abordó un caso de SIM swapping contra Ibercaja, donde los delincuentes duplicaron la tarjeta SIM de la víctima y ejecutaron quince transferencias en una sola noche por más de 80.000 euros. El Alto Tribunal destacó, entre otros extremos, que un hecho tan inusual como esa operativa nocturna masiva debería haber activado los mecanismos de supervisión del banco conforme al artículo 2 del Reglamento Delegado (UE) 2018/389, que obliga a los proveedores de servicios de pago a disponer de sistemas de detección de operaciones fraudulentas.
La STS 571/2025 fijó cuatro reglas que las audiencias provinciales aplican de forma sistemática:
La expresión «operaciones no autorizadas» incluye aquellas iniciadas con las claves del usuario y confirmadas mediante SMS, siempre que este niegue haberlas autorizado. Corresponde al banco acreditar que la operación fue autenticada, registrada con exactitud, contabilizada y que no se vio afectada por un fallo técnico u otra deficiencia del servicio. El mero registro del uso del instrumento de pago no basta para demostrar ni la autorización ni la negligencia del usuario. Las advertencias genéricas o avisos estereotipados sobre ciberseguridad que emiten las entidades no sirven para imputar negligencia grave al cliente.
Implicaciones prácticas del phishing bancario
Para las víctimas de fraude digital: la actuación rápida es fundamental. Comunique la operación no autorizada a su entidad sin demora injustificada, conforme exige el artículo 43 del RDL 19/2018. Presente denuncia ante la policía y conserve toda la documentación. Si el banco rechaza el reembolso, reclame ante su Servicio de Atención al Cliente y ante el Banco de España antes de acudir a la vía judicial. La jurisprudencia protege al usuario que actúa diligentemente.
Para las entidades financieras: la doctrina del Tribunal Supremo y su aplicación por las audiencias provinciales implica que no basta con alegar que la operación fue técnicamente autenticada. Las entidades deben invertir en mecanismos de supervisión y detección de operativas anómalas —transferencias consecutivas, importes inusuales, horarios atípicos— e implementar sistemas de alerta efectivos, más allá de los avisos genéricos.
Si ha sufrido una situación similar, puede realizar una evaluación preliminar gratuita para valorar si tiene derecho al reembolso de las cantidades sustraídas.
Conclusión
La SAP Madrid 4955/2026 confirma que el phishing bancario genera una responsabilidad cuasi objetiva del banco, que solo puede eludir acreditando fraude o negligencia grave del usuario —una prueba cualificada que no se satisface con logs internos ni certificaciones unilaterales—. Para las víctimas, la ley y la jurisprudencia ofrecen un marco de protección robusto. Para los bancos, la obligación de invertir en sistemas de detección eficaces resulta ineludible.
Si necesita asesoramiento sobre una reclamación por operaciones bancarias no autorizadas o cualquier otra cuestión de derecho bancario, no dude en contactar con nuestro despacho.
¿Necesitas ayuda con tu caso?
Cuéntame tu situación. Primera consulta sin compromiso.
