Si has sufrido transferencias no autorizadas Abanca, es fundamental contar con un abogado que defienda tus derechos y te ayude a reclamar las cantidades defraudadas.
En casos de fraude sofisticado como el smishing, la banca tiene la obligación de garantizar la seguridad y responder ante fallos en sus sistemas. Sigue leyendo para conocer cómo protegerte y actuar con respaldo legal experto.
D. Gregorio era titular de una cuenta bancaria y contratos de banca electrónica con ABANCA CORPORACIÓN BANCARIA S.A.. Los hechos relevantes ocurrieron el 19 de julio de 2021.
Ese día, la hermana del demandante, Dª. Reyes, quien figuraba como autorizada en la cuenta, recibió un SMS que alertaba de una acción sospechosa (smishing). El mensaje contenía un enlace al que Dª. Reyes accedió, facilitando su usuario y contraseña de banca online.
De forma simultánea, Dª. Reyes recibió una llamada telefónica del número de atención al cliente de la entidad, donde el interlocutor suplantó la identidad del banco y la instruyó para seguir pasos para evitar un fraude. Durante la conversación, Dª. Reyes recibió y facilitó un código (OTP) necesario para instalar la aplicación de Banca Móvil en un nuevo dispositivo.
Utilizando las credenciales del actor y la nueva instalación de banca móvil, un tercero no autorizado realizó operaciones de pago por un importe total de 23.028,84 euros. Tras recuperar una parte, la reclamación final ascendió a 16.028,84 euros.
Primera Instancia: El Juzgado de Primera Instancia n.º 2 de Santiago de Compostela estimó íntegramente la demanda.
Declaró la responsabilidad de la entidad financiera por no haber adoptado todas las medidas de seguridad posibles, al no exigir la autenticación reforzada del cliente (SCA) para las transferencias y no haber acreditado la negligencia grave del cliente.
Audiencia Provincial: ABANCA interpuso recurso de apelación, alegando que el demandante había incurrido en imprudencia grave. La Audiencia Provincial de A Coruña desestimó el recurso de apelación, confirmando íntegramente la sentencia de primera instancia.
La controversia central residió en determinar quién debía asumir la responsabilidad de las operaciones de pago no autorizadas: el cliente o la entidad bancaria.
El marco normativo aplicable es la Ley de Servicios de Pago (Real Decreto-ley 19/2018, de 23 de noviembre, que traspone la Directiva PSD2), complementada por el Reglamento Delegado (UE) 2018/389.
Conforme a esta normativa, la responsabilidad del proveedor de servicios de pago es de naturaleza cuasi objetiva.
En caso de operaciones no autorizadas, el proveedor debe devolver el importe inmediatamente, salvo que pruebe que el usuario actuó fraudulentamente o incumplió deliberadamente o por negligencia grave sus obligaciones de protección de credenciales (Art. 41 y 46 RDL 19/2018).
Además, el artículo 68 del RDL 19/2018 exige a los proveedores la aplicación de la autenticación reforzada de clientes (SCA) cuando el ordenante inicia una operación de pago electrónico.
La SCA requiere la utilización de dos o más elementos de seguridad independientes (conocimiento, posesión o inherencia). Si el proveedor no exige esta autenticación reforzada, el ordenante solo soporta las pérdidas si ha actuado de forma fraudulenta.
El Tribunal analizó la conducta de la hermana del demandante y la diligencia exigible a ABANCA.
En definitiva, el banco no logró acreditar la negligencia grave del cliente, mientras que la actuación evidenciaba un déficit en el sistema de seguridad bancario para prevenir ataques de phishing.
“A la vista de lo expuesto, al no haber acreditado la demandada una negligencia grave por parte del cliente, y constatada la insuficiencia del sistema elaborado para garantizar la seguridad de las operaciones de banca electrónica, de conformidad con los artículos 43 y 45 de la Ley 19/2018, de 23 de noviembre, de Servicios de Pago, la demandada está obligada a devolver a la parte actora, la cantidad que le fue defraudada de su cuenta por las dos operaciones de pago, no debidamente autenticadas por ésta.”.
En la sentencia se determinó que en los supuestos de fraude bancario por phishing o smishing, el proveedor de servicios de pago está obligado a reintegrar inmediatamente el importe de las operaciones no autorizadas, salvo que demuestre que el ordenante incurrió en fraude o negligencia grave.
Si el banco no implementó la Autenticación Reforzada del Cliente (SCA) para la operación, solo queda eximido de responsabilidad si prueba la existencia de fraude por parte del cliente.
En el contexto de un engaño sofisticado que utiliza la identidad y canales del propio banco, la mera entrega de credenciales por el usuario, aunque incorrecta, no se considera automáticamente negligencia grave.
