Una llamada que parece proceder del banco.
Un SMS que llega dentro del mismo hilo de mensajes auténticos.
Una web idéntica a la de la entidad.
Una persona que conoce datos personales, movimientos recientes o incluso parte de la información de nuestra cuenta.
El fraude bancario digital se ha vuelto cada vez más sofisticado.
Y cuando desaparece dinero de la cuenta aparece una segunda batalla: determinar quién debe asumir la pérdida.
Los bancos suelen defender que la operación se autenticó correctamente mediante claves, códigos SMS o aplicaciones de seguridad y que, por tanto, el cliente tuvo que autorizarla o actuar con negligencia.
Pero la normativa no funciona así.
El Real Decreto-ley 19/2018 establece que, cuando el usuario niega haber autorizado una operación, corresponde al proveedor de servicios de pago demostrar que se autenticó y registró correctamente. Además, el mero uso de las credenciales no basta necesariamente para probar que el cliente autorizó la operación o actuó con fraude o negligencia grave. La carga de probar ese fraude o negligencia grave corresponde al proveedor.
Una sentencia de la Audiencia Provincial de A Coruña de 2026 vuelve a poner esta regla en primer plano al condenar a una entidad a devolver importantes cantidades transferidas sin consentimiento del cliente.
Qué ocurrió en el caso de A Coruña
La Audiencia Provincial analizó una serie de transferencias que el titular de varias cuentas afirmaba no haber autorizado.
Las cantidades eran muy relevantes:
- 157.023 dólares.
- 67.141 euros.
- 55.583 dólares.
La Audiencia condenó al banco a reintegrar esas cantidades, junto con los intereses correspondientes.
La clave: usar banca electrónica no prueba consentimiento
La sala destacó una cuestión esencial: el hecho de que las operaciones se realizaran a través de la banca electrónica no significa por sí solo que el cliente hubiera proporcionado voluntariamente sus claves o autorizado esas transferencias.
Esta diferencia es fundamental en los fraudes digitales.
Un delincuente puede conseguir credenciales mediante:
- Phishing.
- Smishing.
- Vishing.
- Malware.
- Suplantación.
- Duplicado de SIM.
- Control remoto.
- Manipulación psicológica.
Que el sistema registre una clave válida no responde automáticamente a la pregunta de quién la utilizó y cómo la obtuvo.
Qué es una operación no autorizada
El artículo 36 del Real Decreto-ley 19/2018 establece que una operación de pago se considera autorizada cuando el ordenante ha dado su consentimiento.
Si no existe consentimiento, la operación debe considerarse no autorizada.
La existencia de una autenticación técnica no es exactamente lo mismo que el consentimiento jurídico.
Quién debe demostrar qué ocurrió
Esta es una de las reglas más importantes.
Cuando el usuario niega haber autorizado una operación, corresponde al banco demostrar que:
- Fue autenticada.
- Fue registrada correctamente.
- Fue contabilizada.
- No estuvo afectada por fallos técnicos u otras deficiencias del servicio.
Pero incluso acreditar esos elementos no termina necesariamente la discusión.
Usar la contraseña no prueba negligencia grave
El artículo 44 añade que el registro por parte del proveedor de la utilización del instrumento de pago no basta necesariamente para demostrar:
- Que el usuario autorizó la operación.
- Que actuó fraudulentamente.
- Que incumplió sus obligaciones con negligencia grave.
Además, corresponde al propio proveedor probar el fraude o la negligencia grave del usuario.
Esta norma desmonta una respuesta bancaria muy frecuente:
“Se introdujo correctamente el código, por tanto fue usted.”
No es suficiente por sí sola.
Qué debe hacer el banco ante una operación no autorizada
Como regla general, cuando se ejecuta una operación no autorizada, el proveedor de servicios de pago debe devolver el importe inmediatamente y, en todo caso, a más tardar al final del siguiente día hábil desde que conoce o recibe la notificación de la operación.
Existe una excepción cuando tenga motivos razonables para sospechar fraude y los comunique por escrito al Banco de España en los términos correspondientes.
El cliente también tiene obligaciones
La protección no significa que el cliente pueda desentenderse de la seguridad.
Debe:
- Utilizar correctamente los instrumentos de pago.
- Adoptar medidas razonables para proteger credenciales.
- Comunicar sin demora pérdida, robo, apropiación o utilización no autorizada.
Plazo máximo para reclamar una operación no autorizada
El usuario debe comunicar la operación sin demora injustificada desde que tenga conocimiento.
En todo caso, la norma establece un plazo máximo general de 13 meses desde el adeudo, salvo las excepciones legalmente previstas cuando el proveedor no hubiera facilitado la información correspondiente.
Esperar puede perjudicar seriamente la reclamación.
Qué es negligencia grave
No todo error del cliente equivale a negligencia grave.
Este concepto exige un comportamiento especialmente descuidado atendiendo a las circunstancias.
Puede discutirse negligencia grave si
El cliente entrega voluntariamente todos los códigos pese a advertencias muy claras, comparte credenciales de forma consciente o ignora señales extremadamente evidentes.
Pero no basta afirmar que “cayó en un phishing”
Los fraudes actuales pueden ser muy sofisticados.
Pueden utilizar:
- Número de teléfono aparentemente auténtico.
- Datos reales.
- Logo de la entidad.
- Web clonada.
- Mensajes dentro de un hilo legítimo.
- Urgencia.
- Información sobre cuentas.
La conducta del usuario debe valorarse en su contexto.
Vishing: el falso empleado del banco
El fraude telefónico se ha convertido en uno de los más habituales.
La víctima recibe una llamada de alguien que afirma pertenecer al departamento de seguridad.
El supuesto empleado explica que:
- Hay movimientos sospechosos.
- Hay que bloquear una transferencia.
- Existe una compra fraudulenta.
- Es necesario confirmar códigos.
La víctima cree que está protegiendo su cuenta cuando, en realidad, está facilitando el ataque.
Smishing: SMS falsos
Un mensaje simula proceder del banco.
Puede decir:
- “Su cuenta ha sido bloqueada.”
- “Acceso no autorizado.”
- “Confirme su identidad.”
- “Transferencia pendiente.”
El enlace conduce a una web idéntica a la real.
La rapidez importa
Cuando detectamos un fraude debemos actuar inmediatamente.
Primero: llamar al banco
Bloquear:
- Tarjetas.
- Banca online.
- Operaciones.
- Credenciales.
Segundo: dejar constancia
Conviene obtener número de incidencia.
Tercero: denunciar
Presentar denuncia policial describiendo los hechos y operaciones.
Cuarto: reclamar formalmente
No debemos limitarnos a una conversación telefónica.
Quinto: conservar pruebas
- SMS.
- Emails.
- Capturas.
- Teléfonos.
- Movimientos.
- Notificaciones.
- Grabaciones disponibles.
- Comunicaciones del banco.
Qué debe explicar la reclamación
Conviene describir cronológicamente:
- Cómo empezó el fraude.
- Qué contacto recibió el cliente.
- Qué datos conocían los delincuentes.
- Qué credenciales se utilizaron.
- Qué operaciones aparecieron.
- Cuándo se comunicó al banco.
- Qué respuesta ofreció la entidad.
El banco debe aportar trazabilidad
En un procedimiento pueden ser relevantes:
- IP.
- Dispositivo.
- Geolocalización aproximada.
- Hora.
- Método de autenticación.
- Alta de nuevo dispositivo.
- Cambios de límites.
- Destinatarios.
- Alertas antifraude.
- Patrones anómalos.
No basta con afirmar genéricamente que “la operación se autenticó correctamente”.
Operaciones completamente anómalas
Una cuestión importante es si las transferencias encajan con el comportamiento normal del cliente.
Puede resultar relevante que aparezcan:
- Importes extraordinariamente altos.
- Varios beneficiarios nuevos.
- Transferencias internacionales.
- Operaciones consecutivas.
- Cambios de dispositivo.
- Horarios inusuales.
Cuantos más elementos anómalos existan, mayor importancia puede tener el funcionamiento de los sistemas de prevención del banco.
Empresas y autónomos también pueden ser víctimas
El phishing no afecta solo a consumidores particulares.
Una pyme puede sufrir:
- Fraude del CEO.
- Cambio falso de cuenta de proveedor.
- Facturas manipuladas.
- Acceso a banca electrónica.
- Suplantación de asesor.
- Malware.
En cuentas empresariales, además, las cantidades pueden ser mucho mayores.
Fraude del proveedor
Uno de los ataques más peligrosos consiste en interceptar una conversación real con un proveedor y modificar el número de cuenta de una factura.
El email parece auténtico.
La factura también.
La empresa paga.
Semanas después descubre que el proveedor nunca recibió el dinero.
Aquí el análisis jurídico puede ser distinto al de una transferencia iniciada directamente mediante credenciales robadas, por lo que debe estudiarse cada situación.
Qué no debemos hacer
Borrar mensajes
Son prueba.
Esperar varios días
El tiempo importa.
Aceptar la primera negativa del banco como definitiva
Puede reclamarse.
Firmar acuerdos sin revisar
Una devolución parcial puede contener renuncias.
Dar por hecho que el uso de OTP cierra el asunto
La propia ley dice que la autenticación técnica no prueba necesariamente autorización ni negligencia grave.
La sentencia de A Coruña en 2026
La Audiencia Provincial de A Coruña condenó al banco a reintegrar las transferencias no consentidas porque no consideró probado que el cliente hubiera actuado con fraude o negligencia grave en los términos exigibles. El tribunal destacó que el simple hecho de que las operaciones se realizasen mediante banca electrónica no permitía concluir que el afectado hubiera entregado las claves.
No significa que todos los casos de phishing se ganen.
Pero sí recuerda una regla esencial: la entidad financiera no puede trasladar automáticamente toda la responsabilidad al cliente.
Conclusión
Cuando se produce una transferencia que el titular niega haber autorizado, el banco no puede limitarse a enseñar un registro diciendo que se utilizó una contraseña o un código correcto.
El Real Decreto-ley 19/2018 establece que corresponde al proveedor probar la autenticación y, además, demostrar el fraude o negligencia grave del usuario cuando quiera atribuirle responsabilidad. El mero registro de las credenciales no basta necesariamente.
La Audiencia Provincial de A Coruña ha aplicado en 2026 esta lógica para condenar a una entidad a devolver importantes transferencias no consentidas.
Ante un phishing, la rapidez es esencial.
Bloquear, documentar, denunciar y reclamar.
Porque que alguien consiga entrar en nuestra banca electrónica no significa automáticamente que legalmente hayamos autorizado que se lleve nuestro dinero.