Dosier Práctico: nuevo marco Europeu de Protección y Reembolso por Ciberestafes Bancarias
Durante la vigencia del Real Decreto-ley 19/2018, la protección patrimonial del cliente dependía exclusivamente de la distinción formal entre transacciones autorizadas y no autorizadas. En este esquema, los proveedores de servicios de pago asumían la obligación de reintegrar con inmediatez el importe sustraído únicamente cuando la operación se había ejecutado sin el consentimiento del usuario. Esto provocaba una grave desprotección en un contexto en el que la ciberdelincuencia —y más aún con la irrupción de la inteligencia artificial— ha perfeccionado las técnicas de engaño: suplantación de llamadas y de personas, manipulación documental, suplantación de números de teléfono (spoofing) y falsos empleados de entidades bancarias o de suministros.
Este paradigma ha cambiado de raíz, suponiendo una auténtica revolución legal para los consumidores. La entrada en vigor de nuevas normativas europeas clave —como el Reglamento (UE) 2024/886 y el nuevo Reglamento Europeo de Servicios de Pago (PSR)—, junto con la histórica Sentencia del Tribunal de Justicia de la UE (TJUE) del 15 de octubre de 2026, han transformado radicalmente el tablero de juego.
Este paquete legislativo y jurisprudencial pone fin a la época en la que los bancos denegaban sistemáticamente el reembolso alegando «negligencia grave» del cliente por haber facilitado claves bajo engaño. El nuevo marco exige a las entidades asumir la responsabilidad tecnológica y financiera ante los fallos de seguridad.
A continuación, detallamos de manera práctica cómo estas últimas leyes y resoluciones judiciales obligan a las entidades a devolver el dinero sustraído, según la tipología del fraude:
1. Verificación del Beneficiario: El fin de los errores en las transferencias (Reglamento UE 2024/886)
Hasta ahora, si un cliente enviaba fondos a una cuenta fraudulenta porque el IBAN no coincidía con el nombre del destinatario, la entidad bancaria no se hacía responsable. Esta situación cambia drásticamente con la obligatoriedad del servicio VoP (Verification of Payee).
- ¿Qué es? Antes de autorizar una transferencia, el banco debe comprobar gratuitamente si el IBAN coincide con el nombre del titular de destino y avisar al cliente en tiempo real.
- ¿Qué ocurre si el banco falla? Si la entidad ejecuta la transferencia sin haber mostrado el aviso de discrepancia de manera previa, clara y comprensible, debe reembolsar inmediatamente el dinero al cliente, sin poder alegar negligencia.
- Aplicación obligatoria: En vigor desde octubre de 2025 para todas las entidades de la zona euro.
2. Suplantación del propio Banco o «Spoofing» (Nuevo Reglamento PSR - Art. 59)
Uno de los fraudes de ingeniería social más extendidos se produce cuando la víctima recibe llamadas, SMS o correos electrónicos en los que los estafadores se hacen pasar por su propio banco, clonando incluso su número de teléfono oficial (spoofing).
- El Nuevo Derecho al Reembolso: Por primera vez, si el cliente acredita que ordenó la transferencia bajo este engaño (creyendo que interactuaba con su banco), la entidad está obligada a indemnizar la pérdida íntegra.
- Procedimiento de reclamación:
- Notificar la incidencia al banco con la máxima celeridad.
- Interponer la correspondiente denuncia penal ante la policía o el juzgado.
- El banco dispone de un plazo de entre 10 y 15 días hábiles para reintegrar el dinero (salvo que la entidad demuestre de manera concluyente fraude o negligencia muy grave por parte del usuario).
- Responsabilidad de las operadoras telefónicas: Las entidades bancarias podrán repetir y reclamar el importe a las compañías de telecomunicaciones que no hayan bloqueado los SMS o las llamadas suplantadas.
3. Phishing y Negligencia Grave: La histórica Sentencia del TJUE (15 de octubre de 2026)
El 15 de octubre de 2026, el Tribunal de Justicia de la Unión Europea dictó la sentencia del asunto C-70/25 (caso N.O. contra PKO BP S.A., conocido como Tukowiecka), una resolución vinculante que desmonta la excusa más habitual de la banca.
En este supuesto, una usuaria fue víctima de phishing al acceder a un enlace fraudulento, facilitando sus credenciales y un código SMS con el que los ciberdelincuentes sustrajeron los fondos. El banco se negó a devolver el importe alegando «negligencia grave» por parte de la clienta en la custodia de sus claves (Art. 69 de la Directiva PSD2).
¿Qué resuelve exactamente esta Sentencia?
El TJUE delimita nítidamente la separación entre la obligación de devolución inmediata (Art. 73) y la asignación posterior de responsabilidades (Art. 74):
- La negligencia grave no paraliza la devolución: La entidad financiera no puede denegar el reembolso inmediato alegando que el cliente ha actuado con negligencia grave.
- Única excepción para retener el saldo (sospecha de fraude propio): El Art. 73.1 de la Directiva prevé una única excepción: que el banco tenga motivos razonables para sospechar que es el propio cliente quien comete un fraude y lo comunique por escrito a las autoridades competentes. Si solo sospecha de un descuido o negligencia, debe pagar igualmente.
- Protección del consumidor (el banco no hace de juez): Permitir al banco bloquear la devolución obligaría al consumidor a acudir a los tribunales asumiendo costes y riesgos procesales, hecho contrario al principio europeo de alta protección a los usuarios.
- Nueva secuencia procedimental (Pagar primero, reclamar después): El banco tiene el deber legal imperativo de abonar el importe sustraído, a más tardar, al final del siguiente día hábil. Posteriormente, si considera que puede acreditar negligencia grave, será la propia entidad quien deberá iniciar las acciones legales contra el cliente.
| Aspecto clave | Resolución del TJUE (15/10/2026) — Asunto C-70/25 |
|---|---|
| Objeto del litigio | Un banco rechaza el reembolso de un phishing alegando «negligencia grave» del usuario al introducir claves en una web falsa. |
| Dictamen principal | El banco NO puede rechazar el reembolso inmediato bajo el pretexto de negligencia grave. |
| Plazo de devolución | Inmediato o, como máximo, al final del siguiente día hábil tras la notificación del cliente. |
| Excepción permitida | Solo puede paralizar el pago si sospecha de fraude orquestado por el propio cliente (con comunicación escrita a las autoridades). |
| Cambio de procedimiento | El banco devuelve los fondos primero. Si quiere recuperarlos por negligencia, deberá demandar al cliente y demostrarlo a posteriori. |
¿Qué se considera realmente «Negligencia Grave» en los tribunales?
La jurisprudencia consolidada descarta que caer en un engaño sofisticado constituya negligencia grave:
Caer en la trampa de una web idéntica a la del banco o facilitar claves bajo la presión de una supuesta «alerta de seguridad urgente» procedente de los canales oficiales (clonados) de la entidad.
Facilitar claves o tarjetas de coordenadas conscientemente en portales o foros de segunda mano, o validar transferencias ignorando múltiples avisos de seguridad explícitos que advertían claramente del riesgo y destino real de los fondos.
Resumen Ejecutivo: ¿Cómo reclamar según el tipo de fraude?
- Transferencia no autorizada (Phishing de claves): Reclama al banco y exige la devolución antes de que finalice el siguiente día hábil (Base legal: Caso C-70/25 TJUE).
- Transferencia engañado por un falso empleado (Spoofing): Interpón denuncia policial y notifícalo al banco. La entidad debe reintegrar el dinero en un plazo de 10 a 15 días hábiles (Base legal: Art. 59 PSR).
- Transferencia a cuenta fraudulenta por discrepancia de nombre: Reclama al banco el incumplimiento del servicio obligatorio de Verificación del Beneficiario. Reembolso automático (Base legal: Art. 5c Reglamento UE 2024/886).
