En caso de ser víctima de una estafa bancaria y el banco le niega la devolución del dinero alegando que fue “culpa suya” por facilitar sus claves, es fundamental que conozca la reciente doctrina de los tribunales. La Audiencia Provincial de Lugo ha dictado una sentencia que deja claro que las entidades financieras tienen una responsabilidad “casi objetiva” ante fraudes como el vishing, y que no basta con que el cliente cometa un error para eximir al banco de su deber de protección. Si necesita un abogado para reclamar fraude bancario en Lugo o en cualquier otra provincia, siga leyendo y descubra cómo aplicamos esta jurisprudencia para defender sus derechos.
Identificación de la Sentencia
- Tribunal: Audiencia Provincial de Lugo.
- Sección: 1.ª.
- Fecha: 13 de mayo de 2026.
- Nº de Resolución: 201/2026.
- Nº de Recurso: 598/2023.
- Procedimiento: Recurso de apelación.
Antecedentes
El 11 de agosto de 2021, el Sr. Saturnino, de 77 años de edad, fue víctima de una estafa informática bajo la modalidad conocida como vishing.
Un tercero contactó telefónicamente con él haciéndose pasar por empleado de Microsoft y le indicó que su ordenador estaba causando problemas al resto de usuarios de la red y que era necesario realizar determinados ajustes.
Bajo este engaño, el perjudicado permitió al supuesto técnico acceder a través de la red tanto a su ordenador como a su teléfono móvil.
Posteriormente, el falso empleado de Microsoft le propuso contratar un seguro para evitar que el problema volviera a producirse.
El cliente aceptó y facilitó determinados datos bancarios.
Como consecuencia de la actuación fraudulenta, se produjeron operaciones no autorizadas con cargo a sus cuentas bancarias. La reclamación ejercitada frente a la entidad ascendió a 185.849,15 euros.
Un aspecto especialmente relevante de la sentencia es que no quedó acreditado que el cliente hubiera facilitado voluntariamente sus claves bancarias al defraudador.
La Audiencia considera que existió un exceso de confianza y una conducta poco prudente por parte del perjudicado, pero analiza si esa actuación alcanzaba realmente el nivel de negligencia grave exigido legalmente para trasladarle las consecuencias económicas del fraude.
Tramitación Judicial
Primera instancia
El Juzgado de Primera Instancia nº 1 de Lugo dictó sentencia el 2 de mayo de 2023 estimando íntegramente la demanda.
La entidad fue condenada a abonar al demandante 185.849,15 euros, con los intereses legales correspondientes.
El juzgado consideró que no existía negligencia grave por parte del cliente y que la entidad financiera no había actuado con la diligencia debida.
Según recoge la Audiencia Provincial al resumir la sentencia de instancia, unos mecanismos de control adecuados habrían permitido advertir que la retirada de una cantidad tan elevada de fondos en un solo día respondía a una actuación fraudulenta de un tercero.
Recurso ante la Audiencia Provincial
La entidad bancaria interpuso recurso de apelación.
Entre sus argumentos sostuvo que el cliente había incurrido en negligencia grave al facilitar a un tercero sus datos personales y bancarios y al no leer los once SMS remitidos a su teléfono móvil en los que se confirmaban las operaciones realizadas.
La cuestión fundamental consistía, por tanto, en determinar si la conducta del perjudicado tenía la suficiente gravedad como para excluir la responsabilidad de la entidad financiera.
Cuestión Jurídica Principal
La controversia se centra en determinar el régimen de responsabilidad de los proveedores de servicios de pago bajo el Real Decreto Ley 19/2018 ante operaciones de pago no autorizadas.
En particular, el tribunal analiza si la actuación de un usuario que, como consecuencia de un engaño mediante ingeniería social, permite a un tercero acceder a sus dispositivos y facilita determinados datos bancarios, puede calificarse como negligencia grave.
La distinción es esencial.
No toda imprudencia o falta de cautela del consumidor permite trasladarle las pérdidas derivadas de una operación de pago que niega haber autorizado.
La carga de la prueba corresponde al banco
La sentencia recuerda que, cuando un usuario niega haber autorizado una operación de pago, corresponde al proveedor de servicios de pago acreditar determinados extremos.
En particular, debe demostrar que la operación fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio.
Pero la mera utilización de un instrumento de pago o de las credenciales de seguridad no basta necesariamente para demostrar que la operación fue autorizada por el cliente.
Tampoco permite concluir, por sí sola, que el usuario actuara fraudulentamente o incurriera en negligencia grave.
La propia normativa atribuye al proveedor de servicios de pago la carga de probar que el usuario cometió fraude o actuó con negligencia grave.
Responsabilidad “cuasi-objetiva” de la entidad bancaria
La Audiencia Provincial aplica el criterio según el cual la responsabilidad del proveedor de servicios de pago en las operaciones no autorizadas tiene carácter cuasi-objetivo.
Esto significa que, una vez negada la autorización de las operaciones por el cliente, no basta con acreditar que técnicamente se utilizaron los mecanismos de autenticación previstos.
La entidad debe acreditar también los presupuestos necesarios para quedar exonerada de responsabilidad y, en particular, que existió fraude, incumplimiento deliberado o negligencia grave imputable al usuario.
Por tanto, el hecho de que un tercero llegue a conocer o utilizar las credenciales de acceso del cliente no significa automáticamente que este haya actuado con negligencia grave.
¿Facilitó el cliente sus claves bancarias?
Este aspecto merece especial atención.
La sentencia señala que, aunque en la denuncia presentada ante la policía constaba que el perjudicado había facilitado “datos bancarios” al supuesto empleado de Microsoft, no quedó probado que le hubiera entregado las claves necesarias para acceder a su banca digital.
La Audiencia considera que la referencia a los datos bancarios podía estar relacionada con la supuesta contratación del seguro que le ofreció el estafador.
También contempla como posible explicación que el acceso remoto al ordenador y al teléfono móvil hubiera permitido al tercero obtener información o introducir algún mecanismo que facilitara posteriormente el acceso no consentido a las cuentas.
Lo importante, desde el punto de vista probatorio, es que no existía prueba suficiente para afirmar que el cliente hubiese entregado voluntariamente sus claves bancarias.
Una conducta poco prudente no siempre es negligencia grave
La Audiencia reconoce que el comportamiento del perjudicado pudo ser poco prudente.
Permitir a un desconocido acceder remotamente al ordenador y al teléfono móvil después de recibir una llamada telefónica implica, según la propia resolución, un cierto exceso de confianza.
Pero la cuestión jurídica no consiste simplemente en determinar si el cliente podría haber actuado con mayor precaución.
Para excluir el régimen de responsabilidad aplicable al proveedor de servicios de pago, es necesario que la actuación del usuario pueda calificarse como negligencia grave.
Y esa negligencia requiere algo más que una simple falta de cautela.
La Sala entiende que, en este caso concreto, la conducta del perjudicado no alcanzó esa gravedad.
La importancia del engaño sufrido
El tribunal tiene especialmente en cuenta las circunstancias en las que se produjo el fraude.
El perjudicado tenía 77 años cuando sucedieron los hechos.
El delincuente se presentó como empleado de Microsoft y utilizó como pretexto la existencia de un supuesto problema técnico en el ordenador.
La Audiencia reconoce que un consumidor más precavido podría haber evitado el fraude mediante una actuación más prudente.
Sin embargo, considera que el engaño sufrido no fue burdo o palmario y que la conducta del cliente no puede calificarse como una imprudencia grave.
La sentencia distingue así entre una conducta simplemente imprudente o desaconsejable y una actuación que represente una falta de la más elemental diligencia.
Facilitar datos tras un engaño no implica automáticamente negligencia grave
La resolución insiste en que, para apreciar negligencia grave, no basta con identificar una conducta más o menos imprudente de la víctima.
Debe analizarse también cómo se produjo esa conducta.
No es lo mismo que el usuario actúe espontáneamente con absoluta despreocupación respecto de sus mecanismos de seguridad que hacerlo como consecuencia de un engaño provocado deliberadamente por un delincuente.
Por ello, la sentencia considera especialmente relevante que el comportamiento del cliente fuera consecuencia de una actuación fraudulenta dirigida precisamente a superar sus cautelas.
En estas circunstancias, proporcionar determinados datos o permitir el acceso a los dispositivos no conduce automáticamente a considerar que exista negligencia grave.
La ratio decidendi de la sentencia
La Audiencia Provincial resume su conclusión en los siguientes términos:
“en definitiva, puesto que la normativa aplicable establece un sistema de responsabilidad cuasi-objetiva, en el que se predica la responsabilidad de la entidad bancaria, salvo en el supuesto de que se pruebe que el usuario actuó de manera fraudulenta o con negligencia grave”.
La cuestión decisiva, por tanto, no consiste únicamente en comprobar si el cliente pudo haber actuado con mayor prudencia.
Lo relevante es determinar si la conducta acreditada puede calificarse jurídicamente como fraude o negligencia grave.
Y esa circunstancia debe ser probada por la entidad financiera.
Decisión del Tribunal
La Audiencia Provincial de Lugo desestima el recurso de apelación presentado por la entidad bancaria y confirma la sentencia de primera instancia.
En consecuencia, se mantiene la condena al pago de 185.849,15 euros, con los intereses legales establecidos en la sentencia de instancia.
Además, la Audiencia impone a la entidad recurrente las costas de la apelación.
Conclusión
La Sentencia 201/2026 de la Audiencia Provincial de Lugo ofrece un criterio especialmente relevante para las reclamaciones derivadas de operaciones bancarias no autorizadas mediante vishing.
La responsabilidad del proveedor de servicios de pago tiene carácter cuasi-objetivo, de manera que no basta con acreditar que las operaciones utilizaron determinados mecanismos de autenticación o credenciales del cliente.
Cuando el usuario niega haber autorizado las operaciones, corresponde a la entidad acreditar los presupuestos que permitan excluir su responsabilidad y, particularmente, la existencia de fraude o negligencia grave por parte del perjudicado.
En este caso, la Audiencia considera que esa negligencia grave no concurrió.
Aunque el cliente actuó con un exceso de confianza al permitir el acceso a sus dispositivos y facilitar determinados datos bancarios, no quedó acreditado que hubiera entregado sus claves al defraudador.
Además, atendiendo a las circunstancias concretas del engaño y a la edad del perjudicado, el tribunal concluye que su actuación no alcanzaba el grado de gravedad necesario para hacerle soportar las consecuencias económicas del fraude.
Por tanto, ante una reclamación por vishing, resulta fundamental analizar cómo se produjo el engaño, qué información entregó realmente el usuario, qué operaciones fueron autorizadas y qué hechos puede acreditar cada una de las partes.
La existencia de una imprudencia del cliente no equivale, por sí sola, a negligencia grave.
