Si has sufrido un fraude bancario o temes ser víctima de uno, contar con un abogado fraude bancario especializado es clave para proteger tus derechos y tu patrimonio. La reciente Sentencia del Tribunal Supremo de 9 de abril de 2025 establece importantes criterios sobre la responsabilidad de los bancos ante operaciones no autorizadas, como el phishing o el SIM swapping. En este artículo te explicamos cómo un abogado experto puede ayudarte a reclamar y defenderte frente a estas situaciones, evitando que tengas que asumir las pérdidas injustificadamente. Sigue leyendo para conocer todos los detalles y cómo actuar.
- Tribunal: Tribunal Supremo, Sala de lo Civil.
- Provincia del Tribunal: Madrid.
- Sección: 1ª.
- Fecha de la Sentencia: 9 de abril de 2025.
- Nº de Resolución: 571/2025.
Antecedentes
A principios de 2021, D. Martin, titular de una cuenta y contratos de banca a distancia con Ibercaja Banco S.A., comenzó a recibir alertas de seguridad. El 24 de febrero de 2021, Google le avisó de un acceso no autorizado a su correo electrónico y, minutos después, D. Martin recibió SMS con códigos de transferencia que no había solicitado, informando de inmediato al banco. Posteriormente, entre finales de febrero y marzo de 2021, se produjeron cargos no autorizados en su tarjeta VISA, lo que también comunicó a la entidad. El 16 de marzo, su esposa, D.ª Estefanía, recibió una alerta crítica de Google, lo que llevó a D. Martin a acudir nuevamente al banco el 17 de marzo para informar y solicitar la cancelación de su tarjeta.
A pesar de estas advertencias, entre la noche del 17 y la mañana del 18 de marzo de 2021, se realizaron quince transferencias bancarias no autorizadas desde la cuenta de D. Martin, diez a través de Bizum y cinco mediante “Ibercaja Directo”, sumando un total de 83.692,73 euros, incluyendo comisiones. Se descubrió que estas operaciones fueron realizadas por delincuentes, quienes habían duplicado la tarjeta SIM del móvil de D.ª Estefanía el 17 de marzo sin autorización (lo que se conoce como SIM swapping). D. Martin no se percató hasta que el propio banco, alertado por otra entidad, le preguntó sobre las transferencias, tras lo cual presentó una denuncia policial. Ibercaja logró recuperar y reintegrar 27.218,10 euros. D. Martin interpuso una demanda contra Ibercaja Banco S.A. reclamando los 56.474,63 euros restantes por los daños y perjuicios causados.
Ibercaja se opuso a la demanda, alegando que las operaciones se realizaron con las credenciales correctas y doble factor de autenticación (SMS), conforme al Real Decreto-ley 19/2018 de servicios de pago. Argumentó que no eran responsables de la seguridad de los dispositivos del usuario ni de su falta de cautela, y que una cláusula contractual les eximía de responsabilidad por intrusiones de terceros.
Tramitación Judicial
- Primera Instancia (Juzgado de Primera Instancia n.º 7 de Zaragoza): El Juzgado estimó íntegramente la demanda de D. Martin, condenando a Ibercaja Banco S.A. a pagar la cantidad reclamada. Consideró que la actuación del banco suponía un incumplimiento de sus obligaciones contractuales y que no existía negligencia grave por parte del usuario.
- Audiencia Provincial (Sección 5.ª de la Audiencia Provincial de Zaragoza): La Audiencia desestimó el recurso de apelación de Ibercaja Banco S.A., confirmando la sentencia de primera instancia. Argumentó que la Ley de Servicios de Pago establece un sistema de responsabilidad cuasi objetiva para el proveedor de servicios de pago en casos de operaciones no autorizadas, salvo fraude o negligencia grave del ordenante. La Audiencia concluyó que el banco no había acreditado negligencia por parte de D. Martin y, por el contrario, existieron deficiencias en el servicio del banco, como la falta de activación de alarmas ante operaciones inusuales y la falta de reacción ante las advertencias previas del cliente.
- Tribunal Supremo (Sala de lo Civil): Ibercaja Banco S.A. interpuso recurso de casación. El Tribunal Supremo desestimó el recurso de casación, confirmando la sentencia de la Audiencia Provincial.
Cuestión Jurídica Principal
La cuestión jurídica principal resuelta por el Tribunal Supremo fue determinar el alcance de la responsabilidad de las entidades bancarias por operaciones de pago no autorizadas, como el phishing y el SIM swapping. Específicamente, se debatió si el hecho de que las operaciones se realizaran utilizando las credenciales del usuario, incluso con doble factor de autenticación, es suficiente para eximir de responsabilidad al banco, o si este debe asumir las pérdidas ante la falta de prueba de fraude o negligencia grave del usuario y la existencia de deficiencias en el servicio de seguridad del banco.
Decisión del Tribunal
El Tribunal Supremo desestimó el recurso de casación de Ibercaja Banco S.A., reafirmando la condena a la entidad. El Tribunal sostuvo que la responsabilidad del proveedor de servicios de pago en casos de operaciones no autorizadas o ejecutadas incorrectamente es de carácter cuasi objetivo. Esto implica que, ante la negación del usuario de haber autorizado una operación, recae sobre el banco la carga de probar que la operación fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado por el proveedor. Además, el banco debe probar que el usuario incurrió en fraude o negligencia grave.
El Tribunal clarificó que el simple registro de la operación y el uso de las credenciales, incluso con doble autenticación, no son suficientes para demostrar la autorización del usuario ni su fraude o negligencia grave. En este sentido, la ratio decidendi del Tribunal Supremo fue que:
«A este respecto, la mención «deficiencia del servicio» no significa error o fallo del sistema informático o electrónico -posibilidad que estaría prevista en el concepto de «fallo técnico»-, sino que abarca cualquier falta de diligencia o mala praxis en la prestación del servicio, en el entendimiento de que el grado de diligencia exigible al proveedor de los servicios de pago no es el propio del buen padre de familia, sino que la naturaleza de la actividad y los riesgos que entraña el servicio que se presta, sobre todo en una relación empresario/consumidor, obliga a elevar el nivel de diligencia a un plano superior, como es el del ordenado y experto comerciante.».
El Tribunal constató que, en el caso concreto, el demandante actuó diligentemente al informar de inmediato y reiteradamente al banco sobre las irregularidades y los intentos de acceso no autorizados. Por el contrario, el banco no adoptó medidas de protección adecuadas ni implementó sistemas de detección de anomalías que pudieran haber prevenido las transferencias fraudulentas, a pesar de las claras señales de riesgo (como el volumen y la hora inusual de las operaciones). La sentencia subraya que el mero hecho de que un tercero acceda a las claves del usuario no implica per se negligencia de este último.
Conclusión
La Sentencia del Tribunal Supremo consolida la doctrina de la responsabilidad cuasi objetiva de los bancos por fraudes en operaciones de pago, como el phishing y el SIM swapping. Dicha responsabilidad no se limita a fallos técnicos del sistema, sino que se extiende a cualquier deficiencia o falta de diligencia en la prestación del servicio, exigiendo a las entidades un estándar de diligencia superior al común, propio de un “ordenado y experto comerciante”. La carga de la prueba de la autorización de la operación o de la existencia de fraude o negligencia grave por parte del usuario recae sobre el proveedor de servicios de pago. La diligencia del cliente en la comunicación de incidentes es un factor clave que excluye su responsabilidad y refuerza la del banco.
