El phishing, el smishing, el vishing y la duplicación de tarjetas SIM llevan años causando pérdidas millonarias a clientes de la banca digital. Durante mucho tiempo, la respuesta habitual de las entidades ante una reclamación era ampararse en que la operación había sido autenticada, las claves se habían introducido correctamente y el código de confirmación había sido validado. Por tanto, el problema recaía en el cliente.
Esa forma de enfocar el conflicto ya venía debilitándose en los tribunales. Pero la Sentencia del Tribunal Supremo, Sala de lo Civil, nº 571/2025, de 9 de abril de 2025, ha supuesto un punto de inflexión.
los tribunales están dejando atrás una visión puramente formal de la seguridad bancaria
Según la sentencia, la autenticación formal de una operación no basta, por sí sola, para acreditar que el cliente la autorizó. Si el usuario niega haber consentido el pago, corresponde a la entidad demostrar que la operación fue autenticada, pero también que no existió fallo técnico ni otra deficiencia del servicio, y que el cliente actuó de forma fraudulenta o con negligencia grave.
Un caso que lo explica todo
El asunto resuelto por el Supremo parte de un fraude sofisticado. El cliente había advertido previamente a la entidad de movimientos y mensajes sospechosos. Días después, los delincuentes duplicaron la tarjeta SIM de su cónyuge y, durante una sola noche, ejecutaron numerosas transferencias y operaciones Bizum por más de 83.000 euros. La alerta definitiva no procedió del propio sistema de la entidad, sino de otro banco que detectó una cuenta receptora sospechosa.
El Supremo desestimó el recurso de la entidad bancaria y confirmó la condena a devolver las cantidades sustraídas. Pero lo relevante no está solo en el resultado, sino en la doctrina que fija. El Tribunal Supremo interpreta el Real Decreto-ley 19/2018, de 23 de noviembre, de Servicios de Pago, en línea con la normativa europea, y recuerda que el proveedor de servicios de pago no puede limitarse a decir que el sistema funcionó o que se usaron las claves correctas.
Lo que están viendo los tribunales en 2026
La doctrina del Supremo no ha tardado en proyectarse sobre resoluciones posteriores. Las Audiencias Provinciales están aplicando esa misma lógica a fraudes cada vez más sofisticados, en los que el cliente no siempre puede distinguir con facilidad entre una comunicación legítima y una suplantación cuidadosamente construida.
La Sentencia de la Audiencia Provincial de Madrid, Sección 14ª, n.º 133/2026, de 17 de abril de 2026, condenó a una entidad bancaria por tres transferencias realizadas en un intervalo muy breve, a favor del mismo beneficiario, con conceptos sin sentido y dejando la cuenta prácticamente vacía. La Audiencia valoró especialmente que otra entidad sí había detectado intentos fraudulentos similares y había bloqueado la operativa, por lo que consideró que el fraude podía haberse detectado con los mecanismos adecuados.
La Sentencia de la Audiencia Provincial de Pontevedra, Sección 6ª, n.º 340/2026, de 20 de abril de 2026, va un paso más allá. La clienta recibió un SMS aparentemente enviado por su banco, integrado en el hilo real de mensajes de la entidad, y después una llamada desde un número oficial en la que el interlocutor se presentó como empleado del servicio de fraudes. La Audiencia rechazó que esa conducta pudiera calificarse como negligencia grave, ya que el engaño estaba diseñado para generar confianza y simular una actuación legítima del banco.
La tendencia que se observa es que los tribunales están dejando atrás una visión puramente formal de la seguridad bancaria. La pregunta ya no es solo si se introdujeron correctamente unas claves, sino si la operación tenía sentido, si encajaba con el comportamiento habitual del cliente, si existían señales de alerta y si la entidad puede demostrar que actuó con la diligencia exigible.
Lo que se espera ahora de las entidades
La STS 571/2025 no tiene por qué interpretarse como una amenaza para la banca, sino como una referencia útil para adaptar sus protocolos y una orientación sobre qué esperan los tribunales.
A partir de esta sentencia, las entidades deberían poder responder a varias preguntas básicas: ¿la operación encajaba con el comportamiento habitual del cliente?, ¿existían alertas previas?, ¿se generaron señales internas de riesgo?, ¿por qué no se bloqueó la operación?, ¿puede reconstruirse técnicamente lo ocurrido?
El Supremo menciona factores como la reiteración de transferencias, el horario, el importe, los destinatarios o los antecedentes de uso de la cuenta. Para una entidad financiera, esto exige sistemas de monitorización capaces de detectar operaciones encadenadas, importes inusuales, vaciados de cuenta, destinatarios nuevos o movimientos realizados en horarios impropios del perfil del cliente.
También será clave la gestión de alertas previas. Si el cliente comunica SMS sospechosos, cargos no autorizados o sospechas de uso indebido de sus claves, no basta con dejar constancia, y deberán activarse los protocolos de seguridad correspondientes.
El fondo de la cuestión
Detrás de estas resoluciones hay un cambio de enfoque. Durante años, muchas defensas se han construido sobre la idea de que, si se usaron las credenciales correctas, el cliente debía asumir las consecuencias.
Tras la STS 571/2025 el consentimiento no se presume automáticamente por el uso de claves, códigos o doble factor de autenticación. Puede haber una operación técnicamente validada y, al mismo tiempo, no autorizada por el cliente.
El cliente sigue teniendo obligaciones de custodiar sus credenciales, actuar con prudencia y comunicar sin demora cualquier operación sospechosa. Pero en fraudes sofisticados, con mensajes integrados en canales aparentemente oficiales y llamadas que simulan proceder del banco, los tribunales están siendo cautelosos antes de trasladar toda la pérdida al usuario.
Para el sector financiero, el verdadero reto está en anticiparse y en contar con sistemas capaces de detectar operaciones que se apartan del comportamiento habitual del cliente, protocolos que reaccionen ante señales tempranas, comunicaciones que reduzcan el margen de suplantación y expedientes técnicos que permitan reconstruir cada operación.
La banca digital seguirá siendo imprescindible, pero la confianza en sus canales exige algo más que autenticación reforzada: prevención inteligente, reacción rápida y prueba sólida cuando el conflicto llega a los tribunales.
Paula Munguia, Coordinadora del ámbito de Defensa de Entidades Financieras en LKS Next Legal
