Si has sido víctima de una estafa bancaria por internet y la entidad se niega a devolverle los fondos argumentando que facilitaste tus claves de forma negligente, debe saber que los tribunales están respaldando con firmeza los derechos de los consumidores. Un ejemplo reciente y crucial lo encontramos en la resolución de la Audiencia Provincial de Huesca, la cual confirma que el banco es el principal responsable de garantizar la seguridad de su banca electrónica y debe reintegrar el dinero sustraído si sus sistemas no detectaron una operativa sospechosa.
Si se encuentra en una situación similar y necesita asesoramiento legal, contar con el respaldo de un abogado recuperar transferencias no autorizadas Huesca es el primer paso para analizar la viabilidad de su caso y activar los mecanismos judiciales adecuados frente a la entidad financiera.
Identificación de la Sentencia
- Tribunal: Audiencia Provincial de Huesca.
- Sección: 1.
- Fecha: 13 de mayo de 2026.
- Nº de Resolución: 270/2026.
Antecedentes
La Sra. Juliana, cliente de la entidad Ibercaja Banco S.A., fue víctima de una estafa informática conocida como phishing.
Mediante el engaño y la suplantación de la identidad del banco a través de un enlace fraudulento, terceros obtuvieron sus claves de acceso y realizaron diversas operaciones no autorizadas.
En total, se detrajeron de sus cuentas 7.465 euros, desglosados en siete transferencias de 990 euros cada una (más 5 euros de comisión por cada una) y un envío por Bizum de 500 euros.
La afectada reclamó al banco la devolución íntegra de los fondos al considerar que el servicio de banca electrónica no ofreció la seguridad necesaria.
Tramitación Judicial
Primera instancia
El Juzgado de Primera Instancia e Instrucción n.º 1 de Huesca dictó sentencia el 17 de abril de 2024, estimando íntegramente la demanda de la Sra. Juliana.
El juzgado declaró la responsabilidad de Ibercaja por la incorrecta ejecución de las operaciones y condenó a la entidad a reintegrar los 7.465 euros más los intereses y las costas.
Audiencia Provincial
Ibercaja interpuso recurso de apelación alegando un error en la valoración de la prueba.
La entidad defendió que las operaciones fueron correctamente autenticadas y registradas mediante los sistemas de seguridad vigentes y que no hubo fallos técnicos.
Asimismo, sostuvo que la responsabilidad debía recaer en la clienta por haber facilitado sus claves de forma negligente.
Cuestión Jurídica Principal
La controversia se centra en el régimen de responsabilidad de los proveedores de servicios de pago regulado en el Real Decreto Ley 19/2018.
El tribunal debe resolver si el cumplimiento formal de los protocolos de seguridad (autenticación) es suficiente para exonerar al banco o si este debe probar que el usuario actuó con negligencia grave.
La cuestión clave es determinar si ser víctima de un engaño sofisticado de ingeniería social constituye una falta de diligencia inexcusable por parte del consumidor o si el banco falló en su deber de vigilancia al permitir una serie de operaciones claramente anómalas.
Razonamiento del Tribunal
La Sala desestima el recurso del banco basándose en que la responsabilidad de las entidades financieras en estos casos es de carácter “cuasi-objetivo”.
El tribunal razona que no basta con que la operación esté registrada; el banco tiene la carga de probar que no hubo fallos en su servicio y que el cliente actuó con dolo o negligencia grave.
En este caso, se destaca que se realizaron siete transferencias casi idénticas de forma consecutiva desde una dirección IP distinta a la habitual y hacia beneficiarios con los que la usuaria no operaba normalmente.
El tribunal considera que la entidad debió detectar este patrón sospechoso y bloquear las operaciones.
Las entidades bancarias, como “comerciantes expertos”, deben implementar medidas tecnológicas avanzadas que garanticen la integridad de los datos, ya que son ellas las que se benefician de la banca electrónica.
Caer en una estafa tecnificada donde se suplanta la identidad del banco no puede calificarse automáticamente como una negligencia grave del usuario.
La ratio decidendi de la sentencia establece que:
“la responsabilidad en estos supuestos no puede atribuirse directamente al supuesto ordenante de la transferencia por entenderse ésta autorizada al haberse realizado de acuerdo con los sistemas de autenticación del banco… si un banco no ha sido capaz de limitar el acceso al canal de banca electrónica no puede pretender que el presunto ordenante víctima de esta práctica fraudulenta sea el único responsable”.
Decisión del Tribunal
La Audiencia Provincial desestima el recurso de apelación de Ibercaja Banco S.A. y confirma la sentencia de primera instancia.
La entidad es condenada al pago de las costas de la alzada y a la pérdida del depósito constituido para recurrir.
El tribunal fundamenta su decisión citando jurisprudencia de diversas Audiencias Provinciales (Navarra, Rioja, Málaga, Madrid) que refuerzan la responsabilidad de la banca frente al fraude electrónico, salvo prueba de negligencia grave del ordenante.
Conclusión
La entidad bancaria es responsable de las pérdidas por phishing si no acredita que el cliente incurrió en una negligencia grave, entendida esta como una desatención grosera de las obligaciones de custodia, la cual no concurre cuando el banco permite una operativa flagrantemente sospechosa que sus sistemas de seguridad deberían haber bloqueado.
