Si has sido víctima de un fraude, necesitas un abogado reclamar estafa bancaria Barcelona que conozca la jurisprudencia y defienda tus derechos ante el banco.
Esta sentencia de la Audiencia Provincial de Barcelona muestra cómo se puede recuperar el dinero perdido por phishing o malware, incluso cuando el banco argumenta negligencia.
Sigue leyendo para saber cómo protegerte y qué pasos debes dar.
Identificación de la Sentencia
- Tribunal y Provincia: Audiencia Provincial de Barcelona
- Sección: Sección 17 (Civil).
- Fecha: 2 de septiembre de 2025.
- Nº de Resolución: 497/2025.
El Caso
Los hechos que originaron el litigio se remontan al 9 de enero de 2023. El cliente y su esposa, el Sr. Calixto y la Sra. Rosario, cotitulares de una cuenta en BANKINTER S.A., fueron víctimas de un ciberfraude.
La Sra. Rosario recibió un mensaje SMS que simulaba ser de Bankinter. Un ciberdelincuente logró introducir un malware bancario en el dispositivo de confianza de los clientes.
Posteriormente, se realizaron dos movimientos no autorizados: una disposición de una tarjeta de crédito (movimiento smart cash) por un valor de 2.900 € a la cuenta corriente, seguida de una compra por un importe total de 4.900 € en una plataforma de adquisición de Bitcoins (Binance).
Los clientes denunciaron diligentemente el fraude.
Llamaron a la entidad bancaria el mismo día que advirtieron el movimiento (9 de enero de 2023) para anular la tarjeta, y al día siguiente acudieron a la oficina y presentaron una denuncia ante los Mossos d’Esquadra.
A pesar de que la entidad fue advertida, el cargo de 4.900 € se hizo efectivo posteriormente, el día 12 de enero de 2023.
Los demandantes reclamaron un total de 5.102,71 € por el importe principal más gastos y perjuicios asociados.
Tramitación Judicial Previa
Primera Instancia: El Juzgado de Primera Instancia nº 38 de Barcelona estimó íntegramente la demanda.
Declaró el incumplimiento de las obligaciones legales y contractuales por parte del banco y su responsabilidad en la incorrecta custodia y ejecución de las operaciones no autorizadas, condenando a BANKINTER S.A. a abonar 5.102,71 €.
Recurso de Apelación (Audiencia Provincial): BANKINTER S.A. interpuso recurso de apelación, argumentando principalmente: 1) Falta de legitimación pasiva, al considerar que la tarjeta de crédito usada era de BANKINTER CONSUMER FINANCE EFC, S.A.;
2) Falta de legitimación activa de la Sra. Rosario, por no ser titular de las tarjetas; y 3) Que el Sr. Calixto incurrió en negligencia grave al permitir la instalación del virus en su móvil.
Phishing con tarjeta y transferencias: el banco debe reembolsar salvo negligencia grave
La cuestión central a resolver es si el banco (proveedor de servicios de pago) debe responder por las operaciones fraudulentas de phishing y malware cuando el cliente es víctima de un engaño, o si, por el contrario, el cliente incurrió en la negligencia grave necesaria para exonerar a la entidad.
El tribunal recuerda que la responsabilidad de la entidad bancaria en casos de operaciones no autorizadas es de naturaleza cuasi objetiva o de riesgo por razón legal.
El proveedor de servicios de pago debe devolver al ordenante el importe de la operación no autorizada de inmediato, salvo que sospeche fraude o el ordenante haya actuado de manera fraudulenta o por negligencia grave.
La entidad bancaria está obligada a demostrar que el usuario cometió fraude o negligencia grave.
Además, la normativa (RDL 19/2018) establece que si el proveedor no exige autenticación reforzada de cliente, el ordenante solo soportará las pérdidas en caso de haber actuado de forma fraudulenta.
La Audiencia Provincial
Desestimación de la Falta de Legitimación
La Audiencia Provincial desestimó las excepciones de falta de legitimación activa y pasiva.
Respecto a la legitimación pasiva de BANKINTER S.A., la Sala argumentó que no se puede exigir al consumidor que conozca el entramado financiero del grupo empresarial.
Además, el banco había aceptado extraprocesalmente su legitimación pasiva al responder a las reclamaciones, lo que constituye un acto propio que no puede contradecir.
La Sra. Rosario sí ostentaba legitimación activa por ser cotitular de las cuentas y del dinero perdido.
La Negligencia Grave del Cliente
El Tribunal confirmó que no se pudo estimar negligencia grave por parte del usuario.
La normativa europea (DSP2) y su desarrollo obligan a los bancos a implementar medidas de seguridad y análisis de riesgo en tiempo real, teniendo en cuenta factores como importes, pautas de comportamiento anormales y ubicaciones inusuales.
El Tribunal resumió el estándar de negligencia grave:
“La negligencia grave del usuario que exoneraría a la entidad bancaria demandada “es la que se deriva de una conducta caracterizada por un grado significativo de falta de diligencia, lo que supone que la misma surge o se produce por iniciativa del usuario, no como consecuencia del engaño al que ha sido inducido por un delincuente profesional (…)”.
“Dicho de otra forma, el usuario no incurre en iniciativa ni negligencia grave cuando ha sido víctima de un engaño.”.
La Sala determinó que, al haber sido el cliente objeto de una estafa sofisticada y un malware que controlaba el dispositivo, no incurrió en la negligencia grave que eximiría al banco.
Responsabilidad del Banco por Falta de Medidas y Omisión de Aviso
El Tribunal concluyó que BANKINTER S.A. incurrió en responsabilidad por varios motivos:
- Fallo en los Protocolos de Alarma: Las operaciones fraudulentas (disposición de tarjeta y pago de 4.900 € a Binance) eran anormales y extrañas a las pautas habituales del usuario, incluyendo accesos desde una IP extranjera (Turquía). La entidad demandada no acreditó haber implementado medidas de alarma o gestión de riesgo ante esta operativa inusual.
- Incumplimiento del Deber de Restitución: La entidad bancaria fue advertida por el cliente el 9 y 10 de enero de 2023, antes de que el movimiento fraudulento de 4.900 € se hiciera efectivo el 12 de enero de 2023. El banco no justificó el inconveniente que tuvo para retrotraer o anular la operación, a pesar de la advertencia previa.
El régimen normativo impone al banco una responsabilidad cuasi objetiva, exonerándolo solo en casos de grave negligencia del perjudicado, la cual “se acerca a lo inexcusable”.
Conclusión Jurídica
En el marco de las operaciones de pago no autorizadas por phishing o malware, la obligación de restitución del importe por parte del proveedor de servicios de pago es inmediata, salvo que se demuestre una negligencia grave por parte del cliente.
La condición de víctima de un engaño complejo por parte de un delincuente profesional excluye la calificación de negligencia grave que podría eximir al banco.
Además, el banco será responsable si no acredita haber cumplido con sus obligaciones de seguridad y monitorización de riesgos (incluyendo patrones de gasto anormales o ubicaciones inusuales), o si, habiendo sido advertido por el cliente, no procede a anular o retrotraer la operación fraudulenta antes de su ejecución.
