Phishing bancario y la obligación de devolver del banco
El phishing bancario se ha convertido en una de las formas de fraude más extendidas en España. Cada semana, miles de usuarios reciben mensajes SMS o correos electrónicos que suplantan a su entidad financiera y les inducen a facilitar sus credenciales de acceso. La cuestión jurídica fundamental es clara: ¿quién responde cuando el dinero desaparece de la cuenta?
La Audiencia Provincial de Valencia, en su sentencia de 14 de abril de 2026 (SAP V 699/2026, ECLI:ES:APV:2026:699), ha revocado un fallo de primera instancia y ha condenado al banco a devolver íntegramente las cantidades sustraídas. La resolución confirma la doctrina que el Tribunal Supremo fijó en su sentencia 571/2025, de 9 de abril: la responsabilidad del banco es cuasi objetiva y solo cede si este demuestra que el cliente actuó con negligencia grave.
Los hechos: un caso típico de phishing bancario
El demandante, cliente de la entidad durante más de 25 años, recibió una comunicación fraudulenta que simulaba provenir de su banco. Siguiendo las instrucciones contenidas en el mensaje, accedió a una página web clonada e introdujo sus credenciales. Los estafadores ejecutaron una transferencia inmediata no autorizada.
Varios datos resultaron determinantes para el tribunal. En primer lugar, el cliente nunca había realizado transferencias inmediatas en sus 25 años de relación con la entidad, lo que debería haber activado los sistemas de alerta del banco. En segundo lugar, el equipo informático del demandante estaba libre de virus, dato que contradecía la alegación de negligencia formulada por la entidad.
Tras notificar el fraude, el banco no resolvió la reclamación en el plazo legalmente establecido. El juzgado de primera instancia desestimó la demanda, atribuyendo la responsabilidad al cliente. La Audiencia Provincial revocó íntegramente esta decisión.
La cuestión jurídica: carga de la prueba y autenticación reforzada
El debate se centró en dos normas clave del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago (en adelante, LSP).
El artículo 44 LSP establece que, cuando un usuario niegue haber autorizado una operación, corresponde al proveedor de servicios de pago demostrar que la operación fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico o deficiencia del servicio. Además, su apartado 3 dispone que «corresponderá al proveedor de servicios de pago probar que el usuario del servicio de pago cometió fraude o negligencia grave».
Por su parte, el artículo 46 LSP prevé que el ordenante soportará todas las pérdidas solo cuando haya incurrido en ellas «por haber actuado de manera fraudulenta o por haber incumplido, deliberadamente o por negligencia grave, una o varias de las obligaciones que establece el artículo 41». El apartado 2 añade una regla decisiva: si el banco no exige autenticación reforzada, el cliente solo responde en caso de fraude propio.
Qué dice la Audiencia Provincial de Valencia
La Sección 9.ª de la AP Valencia, con ponencia del magistrado Pedro Luis Viguer Soler, construye su razonamiento sobre tres pilares.
Primero: inversión de la carga de la prueba. La sentencia reprocha al juzgado de instancia haber exigido al consumidor que acreditase la negligencia del banco, cuando la ley impone exactamente lo contrario:
«No corresponde a la parte actora acreditar si la entidad bancaria incurrió en negligencia, como se sostiene erróneamente en la sentencia impugnada, teniendo en cuenta que nos hallamos en un régimen de responsabilidad cuasi objetiva o por riesgo, sino [que corresponde al banco probar] si el usuario de los servicios de pago ha incurrido en fraude o negligencia grave que exima al banco de su responsabilidad, que es cuestión radicalmente distinta.»
Segundo: no tener antivirus no es negligencia grave. La sentencia de instancia había basado la desestimación en que el cliente carecía de un programa antivirus. La Audiencia rechaza este argumento de plano:
«No se comparte por este tribunal que la entidad apelante haya incurrido en negligencia «grave» por el mero hecho de no disponer de un programa antivirus, pues aparte de tratarse de un dato que carece del necesario respaldo probatorio en autos […] esta circunstancia debería ser probada por la propia entidad bancaria.»
Tercero: la responsabilidad cuasi objetiva del banco. La Audiencia recuerda que los sistemas de autenticación los establece el propio banco, y si este no ha sido capaz de impedir el acceso fraudulento, no puede trasladar la responsabilidad al cliente:
«Si un banco no ha sido capaz de limitar el acceso al canal de banca electrónica no puede pretender que el presunto ordenante víctima de esta práctica fraudulenta sea el único responsable, pues es el banco quien tiene responsabilidad respecto del buen funcionamiento y la seguridad del mismo.»
Phishing bancario en la doctrina del Tribunal Supremo
La sentencia de Valencia se apoya expresamente en la STS 571/2025, de 9 de abril (ECLI:ES:TS:2025:1671, ponente Manuel Almenar Belenguer), que constituye el primer pronunciamiento del Tribunal Supremo sobre phishing bancario en el marco de la LSP.
En aquel caso, los estafadores duplicaron la tarjeta SIM del cliente y ejecutaron quince transferencias en una sola noche por importe superior a 80.000 euros. El Supremo confirmó la condena al banco y estableció varias reglas esenciales:
La responsabilidad de los artículos 44 a 46 LSP es cuasi objetiva: el banco responde salvo que demuestre fraude o negligencia grave del usuario. El mero hecho de que un tercero acceda a las claves del cliente no implica negligencia de este, pues pueden existir múltiples explicaciones no atribuibles al usuario. Las advertencias genéricas o avisos estereotipados del banco no bastan para trasladar la responsabilidad al cliente. Además, la ejecución de operaciones inusuales —como quince transferencias nocturnas— sin que salten las alarmas evidencia deficiencias del servicio.
Doctrina establecida: reglas para el consumidor y para el banco
De la conjunción de la STS 571/2025 y la SAP V 699/2026 se extraen las siguientes reglas:
Para el consumidor: debe notificar la operación no autorizada sin demora (art. 43 LSP). No necesita probar la negligencia del banco; le basta con negar la autorización. La víctima de un engaño elaborado no incurre en negligencia grave, pues esta requiere una conducta de falta de diligencia extrema desvinculada del engaño.
Para el banco: debe devolver el importe de inmediato, a más tardar al final del día hábil siguiente a la notificación (art. 45.1 LSP). Soporta la carga de probar que el usuario actuó con fraude o negligencia grave (art. 44.3 LSP). Si no exige autenticación reforzada, el cliente solo responde en caso de fraude propio (art. 46.2 LSP). Los sistemas de alerta ante operaciones inusuales forman parte de la diligencia exigible.
Implicaciones prácticas para víctimas de phishing bancario
Si ha sido víctima de phishing bancario, estas son las acciones que debe emprender de forma inmediata.
Notifique al banco sin demora. Comunique las operaciones no autorizadas tan pronto las detecte. La notificación dentro de plazo es condición necesaria para que opere el régimen protector de la LSP.
Presente denuncia ante la Policía o Guardia Civil. Además de su valor probatorio, la denuncia acredita la naturaleza delictiva de los hechos y refuerza la posición del reclamante.
Reclame por escrito al banco. Si la entidad no devuelve el dinero de forma inmediata, formule reclamación ante el Servicio de Atención al Cliente. Si no obtiene respuesta satisfactoria en un mes, puede acudir al Banco de España.
Acuda a la vía judicial. Como demuestra la sentencia analizada, los tribunales están aplicando de forma consistente la responsabilidad cuasi objetiva del banco. La carga de probar la negligencia grave recae sobre la entidad, no sobre el consumidor.
Si desea evaluar su situación concreta, puede utilizar nuestro test gratuito de phishing bancario para conocer las opciones disponibles en su caso.
Conclusión
La SAP V 699/2026, en línea con la STS 571/2025, refuerza una doctrina cada vez más consolidada: en los casos de phishing bancario, el banco debe devolver el dinero sustraído salvo que demuestre —él, no el cliente— que el usuario actuó con negligencia grave. Ser víctima de un engaño sofisticado no equivale a negligencia grave. La carga de la prueba está donde la ley la coloca: sobre la entidad financiera.
Si se encuentra en una situación similar y necesita asesoramiento profesional, puede contactar con nuestro despacho para una primera valoración de su caso.
¿Necesitas ayuda con tu caso?
Cuéntame tu situación. Primera consulta sin compromiso.
