El trimestre comprendido entre mayo y julio de 2026 ofrece un panorama jurisprudencial de notable interés para quienes ejercemos en el ámbito de la responsabilidad de las entidades financieras por operaciones de pago no autorizadas. La resolución más relevante del período es, sin duda, la STS 2338/2026, de 25 de mayo, en la que el Tribunal Supremo aborda un supuesto de email spoofing corporativo de extraordinaria cuantía y establece un criterio de concurrencia de culpas entre entidad bancaria y cliente empresarial. Junto a ella, cinco sentencias de Audiencias Provinciales han condenado a las entidades bancarias —Bankinter, BBVA, Banco Santander, Unicaja e Ibercaja—, mientras que otras dos resoluciones han apreciado negligencia grave del usuario, delimitando con mayor precisión los contornos de esta excepción.
Analizamos a continuación las ocho resoluciones más significativas del período, organizadas en tres bloques: el caso del Tribunal Supremo, las sentencias favorables al cliente y los dos supuestos en que los tribunales han estimado la defensa de negligencia grave del usuario. Este análisis complementa nuestra recopilación permanente de jurisprudencia sobre phishing bancario.
Caso destacado: STS 2338/2026 — concurrencia de culpas en email spoofing corporativo
La Sentencia del Tribunal Supremo 2338/2026, de 25 de mayo (ECLI:ES:TS:2026:2338, ponente Antonio García Martínez), constituye la resolución más relevante del trimestre y una de las más significativas del año en materia de fraude bancario. El supuesto de hecho enfrenta a Privalia, conocida plataforma de venta de moda online, con Banco Santander, en relación con un fraude de 1,56 millones de euros perpetrado mediante email spoofing.
Los hechos se desarrollaron del siguiente modo: una empleada del departamento de tesorería de Privalia recibió correos electrónicos que suplantaban la identidad de un directivo autorizado, en los que se le instruía para ejecutar siete transferencias internacionales a cuentas radicadas en China. Las transferencias fueron procesadas por Banco Santander a pesar de que existía un protocolo de instrucciones suscrito el 17 de diciembre de 2014, conforme al cual las órdenes de transferencia remitidas por correo electrónico solo podían dirigirse a cuentas de filiales del grupo Privalia, nunca a terceros.
El Tribunal Supremo aprecia concurrencia de culpas al 50 %, razonando sobre una doble infracción. Por parte del banco, el incumplimiento del protocolo de 17 de diciembre de 2014 resulta determinante: la entidad procesó siete transferencias a cuentas de terceros en un país sin vinculación con el grupo, cuando las instrucciones contractuales limitaban las transferencias por correo electrónico a filiales del grupo. Por parte de Privalia, el Tribunal reprocha que la empresa no comunicó internamente a la empleada de tesorería la existencia y el contenido de dicho protocolo, lo que facilitó que la trabajadora ejecutase las órdenes fraudulentas sin cuestionar su legitimidad.
La trascendencia de esta resolución radica en varios aspectos. En primer lugar, es la primera sentencia del Tribunal Supremo que aplica el criterio de concurrencia de culpas en un supuesto de fraude por ingeniería social de gran cuantía contra un cliente empresarial. En segundo lugar, establece que, a diferencia de los supuestos de consumidores —regidos por el régimen de responsabilidad cuasi-objetiva de los artículos 44 a 46 del Real Decreto-ley 19/2018—, los casos de clientes empresariales exigen un análisis individualizado de la conducta de ambas partes. El reparto al 50 % supone que Banco Santander debe restituir 780.000 euros, cifra que, sin embargo, genera un incentivo relevante tanto para las entidades —que deberán velar por el cumplimiento de sus propios protocolos— como para las empresas —que deberán asegurar la difusión interna de las instrucciones de seguridad pactadas con sus bancos—.
Sentencias favorables al cliente: consolidación de la responsabilidad cuasi-objetiva
Las cinco resoluciones que se analizan a continuación confirman la línea jurisprudencial mayoritaria de las Audiencias Provinciales, que atribuye al proveedor de servicios de pago una responsabilidad cuasi-objetiva por las operaciones no autorizadas, de conformidad con los artículos 44 a 46 del Real Decreto-ley 19/2018. En todos los casos, la carga de la prueba de la negligencia grave del usuario recae sobre la entidad bancaria, que no logró acreditarla.
SAP Barcelona 4882/2026 (Bankinter): smishing y vishing combinados
La Sentencia de la Audiencia Provincial de Barcelona 4882/2026, de 17 de junio (ECLI:ES:APB:2026:4882), resuelve un supuesto de ataque combinado de smishing y vishing contra un cliente de Bankinter. El cliente recibió un SMS aparentemente remitido por la entidad que le redirigió a una página web clónica, donde facilitó sus credenciales de acceso. Posteriormente, recibió una llamada telefónica de los defraudadores que completó la obtención de los datos necesarios para ejecutar las operaciones no autorizadas.
La Audiencia Provincial de Barcelona rechaza la alegación de negligencia grave, razonando que la sofisticación del ataque —que combinó dos vectores de ingeniería social y replicó fielmente la imagen corporativa de Bankinter— impide calificar la conducta del usuario como gravemente negligente. Asimismo, el tribunal reprocha a la entidad no haber detectado operaciones que se apartaban del patrón habitual del cliente, lo que constituye un incumplimiento de sus obligaciones de supervisión y monitorización de operaciones inusuales.
SAP Madrid 8099/2026 (BBVA): transferencia no autorizada
La Sentencia de la Audiencia Provincial de Madrid 8099/2026, de 18 de junio (ECLI:ES:APM:2026:8099), condena a BBVA por una transferencia no autorizada ejecutada a través de banca electrónica. La Audiencia aplica de forma ortodoxa el régimen de los artículos 44 a 46 del Real Decreto-ley 19/2018, recordando que corresponde al proveedor de servicios de pago acreditar que la operación fue autenticada, registrada y contabilizada con exactitud, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio. BBVA no logró probar ni que el cliente autorizó la operación ni que incurrió en negligencia grave, por lo que se estima íntegramente la pretensión del usuario.
SAP Barcelona 3530/2026 (Banco Santander): ingeniería social
La Sentencia de la Audiencia Provincial de Barcelona 3530/2026, de 6 de mayo (ECLI:ES:APB:2026:3530), aborda un supuesto de phishing por ingeniería social contra un cliente de Banco Santander que resultó en cargos por importe de 4.272 euros, a los que se sumaron intereses y comisiones generados por las operaciones fraudulentas. La condena asciende a 5.046,77 euros, cifra que incluye la totalidad de los perjuicios económicos sufridos por el cliente. La Audiencia confirma la responsabilidad cuasi-objetiva del banco, descartando la negligencia grave alegada por la entidad, y reconoce expresamente el derecho del usuario a recuperar no solo el principal defraudado, sino también los costes financieros derivados.
SAP Cantabria 1174/2026 (Unicaja): smishing y deficiencias del servicio de atención al cliente
La Sentencia de la Audiencia Provincial de Cantabria 1174/2026, de 1 de julio (ECLI:ES:APS:2026:1174), resulta particularmente ilustrativa. El cliente de Unicaja recibió un SMS fraudulento que advertía de un supuesto inicio de sesión desde un nuevo dispositivo e incluía un enlace a una página web clónica de la entidad. En un intervalo de apenas once minutos, se ejecutaron seis transferencias no autorizadas por un total de 29.999,97 euros.
Más allá de la aplicación del régimen de responsabilidad cuasi-objetiva, esta sentencia incorpora un elemento agravante relevante: el servicio de atención al cliente de Unicaja no respondió cuando la víctima intentó contactar con la entidad durante el ataque. El tribunal razona que, si el servicio hubiera funcionado correctamente, el cliente habría podido confirmar la naturaleza fraudulenta de los mensajes y las transferencias se habrían detenido a tiempo. Esta circunstancia refuerza la responsabilidad del banco y debería servir como llamada de atención a las entidades sobre la importancia operativa de sus canales de atención al cliente, especialmente en situaciones de emergencia.
SAP Huesca 347/2026 y 356/2026 (Ibercaja): controles insuficientes
Las Sentencias de la Audiencia Provincial de Huesca 347/2026 y 356/2026, ambas de 13 de mayo (ECLI:ES:APHU:2026:347 y ECLI:ES:APHU:2026:356), resuelven dos supuestos similares contra Ibercaja. En ambos casos, se produjeron transferencias no autorizadas que la entidad no logró prevenir ni detectar, lo que evidenció la insuficiencia de los controles de seguridad implementados. Las dos resoluciones, dictadas por el mismo ponente, condenan a Ibercaja a restituir las cantidades sustraídas, reafirmando que la obligación de implementar mecanismos de autenticación reforzada y sistemas de detección de operaciones inusuales recae sobre el proveedor de servicios de pago, no sobre el usuario.
Sentencias favorables al banco: los límites de la protección al usuario
Frente a la línea mayoritaria de condena a las entidades, dos resoluciones del trimestre han apreciado negligencia grave del usuario, delimitando los supuestos en que la conducta del cliente quiebra el régimen de protección del Real Decreto-ley 19/2018. Ambas sentencias comparten un elemento común: el usuario ignoró advertencias expresas e inequívocas remitidas por la propia entidad bancaria.
SAP A Coruña 1467/2026 (Abanca): cuatro códigos OTP facilitados sin leer las advertencias
La Sentencia de la Audiencia Provincial de A Coruña 1467/2026, de 20 de mayo (ECLI:ES:APC:2026:1467), constituye uno de los pronunciamientos más claros del trimestre sobre los límites de la protección al usuario. El cliente de Abanca fue víctima de un ataque de vishing en el que facilitó por teléfono cuatro códigos OTP de un solo uso, sin leer en ningún momento los mensajes SMS que acompañaban a dichos códigos y que contenían advertencias claras sobre la naturaleza de la operación y la prohibición de compartirlos.
La Audiencia Provincial de A Coruña estima el recurso de apelación de Abanca y revoca la sentencia de instancia, declarando que la conducta del usuario constituye negligencia grave. El razonamiento del tribunal se sustenta en que no leer cuatro mensajes SMS consecutivos —cada uno de los cuales incluía una advertencia expresa e inequívoca— trasciende la mera negligencia para alcanzar el umbral de la negligencia grave exigido por el artículo 46 del Real Decreto-ley 19/2018. La sentencia establece un criterio relevante: la reiteración en la entrega de códigos OTP sin verificación alguna de los mensajes de advertencia que los acompañan puede calificarse como negligencia grave, con la consiguiente pérdida del derecho a la restitución.
Sentencia del Tribunal de Instancia Comercial 647/2026 (WiZink): vinculación de tarjeta a Google Pay
La Sentencia del Tribunal de Instancia Comercial 647/2026, de 5 de mayo (ECLI:ES:TIC:2026:647), resuelve un supuesto en el que la víctima facilitó un código OTP que permitió a los defraudadores vincular su tarjeta a Google Pay, a través de la cual realizaron tres retiradas de efectivo por importes de 300, 600 y 100 euros, totalizando 1.022,50 euros. WiZink acreditó haber remitido al cliente mensajes claros y explícitos advirtiéndole de que no debía compartir el código bajo ninguna circunstancia y de que su uso estaba destinado exclusivamente a vincular la tarjeta a un servicio de pago móvil.
El tribunal aprecia negligencia grave del usuario, fundamentando su decisión en la claridad y la especificidad de las advertencias remitidas por WiZink. A diferencia de otros supuestos en los que los mensajes de la entidad resultan ambiguos o genéricos, en este caso los avisos identificaban con precisión la finalidad del código —la vinculación a Google Pay— y contenían una prohibición explícita de compartirlo con terceros.
Tendencias observadas en el trimestre
El análisis conjunto de las resoluciones del trimestre permite identificar las siguientes tendencias:
1. El Tribunal Supremo aborda el fraude corporativo con un criterio de reparto de responsabilidad. La STS 2338/2026 inaugura una línea que distingue claramente entre la protección cuasi-objetiva del consumidor y un análisis más matizado de la responsabilidad en supuestos empresariales, en los que la concurrencia de culpas permite modular la indemnización en función de la contribución causal de cada parte.
2. El smishing se consolida como vector de ataque predominante. Cuatro de las ocho resoluciones analizadas implican ataques iniciados mediante SMS fraudulentos, frecuentemente combinados con llamadas telefónicas posteriores (vishing). La sofisticación creciente de estos ataques —que replican con fidelidad la imagen corporativa de las entidades— dificulta su detección por parte de los usuarios.
3. Las deficiencias operativas del banco agravan su responsabilidad. La sentencia de Unicaja (SAP Cantabria 1174/2026) introduce un factor agravante de especial relevancia: la inoperatividad del servicio de atención al cliente durante el ataque. Este criterio podría extenderse a otros supuestos en los que la entidad no responde con la diligencia exigible ante las alertas del cliente.
4. La línea entre negligencia simple y grave se concreta. Las dos sentencias pro-banco comparten un denominador común: el usuario ignoró advertencias expresas, claras e inequívocas. Facilitar un único código OTP tras un ataque sofisticado sigue sin considerarse negligencia grave; facilitar cuatro códigos consecutivos sin leer ninguno de los mensajes de advertencia, sí. La reiteración y la indiferencia ante avisos explícitos son los elementos que elevan la negligencia al umbral de lo grave.
Preguntas frecuentes
¿Qué significa la concurrencia de culpas establecida en la STS 2338/2026?
La concurrencia de culpas implica que tanto el banco como el cliente contribuyeron causalmente al daño producido por el fraude. En la STS 2338/2026, el Tribunal Supremo atribuyó un 50 % de responsabilidad a cada parte: al banco, por incumplir su propio protocolo de transferencias; y a Privalia, por no comunicar internamente dicho protocolo a la empleada de tesorería. Este criterio es aplicable principalmente a clientes empresariales, no al régimen de consumidores del Real Decreto-ley 19/2018.
¿Cuándo se considera negligencia grave del usuario en casos de phishing?
Según la jurisprudencia del trimestre, la negligencia grave se aprecia cuando el usuario ignora advertencias expresas, claras e inequívocas remitidas por su entidad bancaria. En particular, facilitar múltiples códigos OTP por teléfono sin leer los mensajes SMS que los acompañan —especialmente cuando contienen advertencias explícitas— constituye negligencia grave. No obstante, ser víctima de un ataque sofisticado de smishing o vishing que replica fielmente la imagen corporativa del banco no alcanza, por sí solo, ese umbral.
¿Puedo reclamar al banco si he facilitado un código OTP a los defraudadores?
Sí, en la mayoría de los casos. Facilitar un código OTP en el contexto de un ataque de ingeniería social no se considera, por regla general, negligencia grave. Sin embargo, la situación cambia si se facilitan múltiples códigos de forma reiterada sin verificar los mensajes de advertencia que los acompañan. Es recomendable consultar con un abogado especializado para valorar las circunstancias concretas de cada caso.
¿Qué plazo tengo para reclamar al banco tras un fraude por phishing?
El artículo 45 del Real Decreto-ley 19/2018 establece que el usuario debe notificar la operación no autorizada sin demora injustificada y, en todo caso, en un plazo máximo de trece meses desde la fecha del adeudo. No obstante, es aconsejable presentar la reclamación lo antes posible, idealmente en las primeras 48 horas, tanto ante la entidad bancaria como mediante la correspondiente denuncia ante las autoridades policiales.
¿Ha sido víctima de phishing bancario?
Compruebe en dos minutos si su caso tiene viabilidad jurídica con nuestra herramienta gratuita.
¿Necesita asesoramiento jurídico?
Explíquenos su situación. Primera consulta orientativa sin compromiso.
