Una sentencia del Tribunal Supremo, dictada el 9 de abril de 2025, ha marcado un hito en la protección de los usuarios de banca digital frente a fraudes como el phishing o el duplicado de tarjetas SIM. En este caso, un consumidor fue víctima de una estafa que permitió a delincuentes acceder a su cuenta bancaria y transferir más de 83.000 euros. Aunque el banco recuperó parte del dinero, aún faltaban 56.474 euros, que el cliente reclamó por vía judicial.
Índice de contenidos
El caso: suplantación de su SIM para sustraerle 83.000€
La clave del caso es que el usuario ya había avisado semanas antes al banco de que estaba recibiendo SMS con códigos de operaciones que no había ordenado. Es decir, alertó de que su cuenta podía estar comprometida. A pesar de ello, la entidad bancaria no tomó medidas para reforzar la seguridad, como cambiar claves, bloquear accesos o establecer mecanismos de verificación adicionales. Poco después, los delincuentes, tras duplicar la tarjeta SIM de su móvil, consiguieron recibir los códigos necesarios y ejecutar las transferencias.
El banco argumentó que las operaciones eran válidas porque se habían hecho con las claves correctas del cliente y con el sistema de doble autenticación activo. Sin embargo, el Tribunal Supremo rechaza esta postura de forma contundente. Según la sentencia, el hecho de que las operaciones aparezcan registradas como “autenticadas” no basta para eximir al banco de responsabilidad. La entidad, dice el Supremo, no puede limitarse a demostrar que técnicamente se usaron las claves correctas, sino que debe probar que no hubo ninguna deficiencia en el servicio y, además, que el cliente actuó con fraude o negligencia grave.
“El cumplimiento de las obligaciones relativas a la autenticación, registro y contabilización de la operación de pago no exime de responsabilidad al proveedor de servicio, sino que deberá acreditar además que la operación no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado, sin que el mero registro de la utilización del instrumento de pago baste para demostrar que la operación de pago fue autorizada por el ordenante, ni que éste ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave una o varias de sus obligaciones.”
En este caso concreto, el Tribunal concluye que fallaron ambos requisitos. Por un lado, considera que sí hubo una deficiente prestación del servicio, pues el banco ignoró durante semanas las advertencias de su cliente y no reaccionó ni siquiera cuando comenzaron a ejecutarse transferencias fuera del horario habitual y por importes muy superiores a lo normal. De hecho, fue otro banco —Santander— quien avisó de una operación sospechosa. Por otro lado, no se probó que el cliente actuase con negligencia grave. Al contrario, lo que queda demostrado es que actuó con responsabilidad: notificó los hechos a su entidad, cambió contraseñas, denunció en comisaría, e hizo todo lo que estaba en su mano.
¿Qué dice el Tribunal Supremo?
El Tribunal advierte además que no puede imputarse automáticamente negligencia al consumidor solo porque sus claves hayan sido utilizadas por un tercero. La sentencia aclara que:
“El hecho de que la filtración o el conocimiento de las claves por el tercero no sea imputable a la entidad bancaria tampoco la libera de la obligación de responder ni traslada al usuario la obligación de soportar las pérdidas.”
Y añade:
“Obsérvese que, contra lo que mantiene la recurrente, el que un tercero hubiera podido acceder a las claves de acceso a la banca digital del demandante no supone per se que haya incurrido en negligencia alguna, pudiendo existir múltiples explicaciones, muchas de las cuales resultan difícilmente atribuibles a título de negligencia, y menos aún, de negligencia grave.”
Una negligencia grave en este contexto se refiere a una conducta del cliente que demuestra una falta evidente de cuidado y diligencia en el uso de sus credenciales bancarias o en la protección de sus dispositivos. Algunos ejemplos que podrían considerarse negligencia grave incluyen: compartir voluntariamente claves con terceros, escribir contraseñas en lugares accesibles, no cambiar credenciales tras detectar actividad sospechosa, instalar aplicaciones no seguras que comprometan el dispositivo, o hacer caso omiso a recomendaciones básicas de ciberseguridad. Sin embargo, el mero hecho de que un tercero haya accedido a tus claves no implica automáticamente que actuaste con negligencia. Cada caso debe analizarse individualmente.
Este punto es esencial, el banco no puede trasladar automáticamente el riesgo al consumidor. Si quiere evitar responder por operaciones no autorizadas, debe demostrar de forma clara que el cliente actuó con una falta grave de cuidado, lo cual —como en este caso— suele ser difícil cuando el cliente ha sido víctima de un fraude sofisticado como el duplicado de SIM o el acceso remoto a sus dispositivos.
Además, el Tribunal recuerda que las entidades bancarias tienen la obligación legal de implementar mecanismos que detecten operaciones anómalas o sospechosas. En este caso, que se ejecutarán 15 transferencias de madrugada por más de 80.000 € debería haber activado una alarma interna. Pero nada de eso ocurrió. Según el Supremo:
“No puede considerarse como normal e irrelevante que una persona que jamás efectúa operaciones de madrugada, de repente, proceda a llevar a cabo hasta diecisiete operaciones seguidas y por un importe tan elevado.”
Por tanto, lo que esta sentencia establece es una interpretación muy clara del marco legal actual: si un cliente niega haber autorizado una operación y ha actuado con diligencia, el banco debe responder y devolver el dinero, salvo que demuestre de forma fehaciente una actuación negligente o dolosa por parte del cliente. Y demostrar que el sistema funcionó técnicamente no es suficiente.
¿Qué implica esto para los consumidores?
Esta resolución del Tribunal Supremo fortalece la posición de los usuarios de servicios bancarios digitales. Si sufres un fraude y notificas los hechos con rapidez, la carga de la prueba está en el banco, que deberá demostrar que actuaste de forma negligente y que su sistema funcionó correctamente. No pueden exigirte asumir las pérdidas solo porque el sistema registró las operaciones como “válidas”.
En Ézaro Legal estamos preparados para ayudarte si has sido víctima de un fraude de este tipo. Te asesoramos, reclamamos ante tu banco.
