El Supremo refuerza la protección del cliente ante fraudes bancarios digitales

En su reciente sentencia de 9 de abril de 2025, el Tribunal Supremo ha confirmado la responsabilidad de las entidades financieras ante fraudes cometidos mediante suplantación de identidad y operaciones no autorizadas, como el phishing, smishing o spoofing. Este pronunciamiento refuerza la protección de los usuarios en el entorno digital y marca un hito en la interpretación de la normativa vigente en materia de pagos electrónicos.  

Conforme a lo dispuesto en la Ley de Servicios de Pago (Real Decreto-ley 19/2018), las entidades bancarias deben rectificar las operaciones no autorizadas por el usuario y, en consecuencia, restituir las cantidades sustraídas, salvo que puedan demostrar que el cliente ha actuado con negligencia grave o fraude. Es decir, la carga de la prueba recae en el banco. 

El Supremo ha ido más allá al afirmar que no basta con cumplir formalmente con los protocolos técnicos (como la autenticación en dos pasos o los SMS de verificación), sino que las entidades deben adoptar una actitud proactiva y diligente tanto en la prevención como en la respuesta a los fraudes. La sentencia consolida así una doctrina de responsabilidad quasi-objetiva, en la que se impone al banco la obligación de garantizar la seguridad del canal digital, con independencia de si el ataque proviene de terceros. 

Este nuevo enfoque implica que, ante una operación no autorizada, el cliente solo necesita acreditar que actuó con la diligencia razonable, notificó el incidente con prontitud y custodió adecuadamente sus credenciales. En cambio, será la entidad financiera la que deba probar que hubo negligencia grave o intencionalidad por parte del usuario para eximirse de responsabilidad. 

¿Qué hacer si eres víctima de phishing? Pasos clave para proteger tus derechos 

Si has sido víctima de una estafa digital que ha resultado en cargos no autorizados, es fundamental actuar con rapidez y documentar todos los pasos que tomes. A continuación, te indicamos cómo proceder: 

1. Actúa rápido: pasos inmediatos 

• Bloquea tus cuentas y tarjetas 
  Contacta inmediatamente con tu entidad financiera para bloquear el acceso a tus cuentas y tarjetas afectadas. 

• Cambia tus contraseñas 
  Modifica todas tus contraseñas sensibles, como la banca online, el correo electrónico y otros servicios vinculados, desde un dispositivo seguro. 

• Recopila pruebas 
  Guarda todos los mensajes, correos electrónicos, capturas de pantalla y cualquier otra comunicación sospechosa que puedas aportar como evidencia. 

• Notifica al banco por escrito 
  Informa a tu entidad bancaria por escrito (correo electrónico, formulario web o burofax) de la operación no autorizada, solicitando la anulación del cargo y la devolución del importe sustraído. 

2. Presenta una reclamación formal 

Si el banco no responde o rechaza tu reclamación, puedes: 

• Presentar una reclamación ante el Servicio de Atención al Cliente de la entidad. 

• Acudir al Banco de España, que evaluará si el banco ha actuado conforme a la normativa. 

• Interponer una demanda judicial, en cuyo caso contar con un abogado con experiencia en derecho bancario será determinante. 

¿Qué implica esta sentencia para consumidores y bancos? 

Para los consumidores, esta sentencia implica una mayor garantía jurídica y la posibilidad real de recuperar las cantidades perdidas en fraudes digitales, siempre que hayan actuado con responsabilidad. Para las entidades financieras, refuerza la necesidad de mejorar sus protocolos de ciberseguridad, así como de atender con diligencia las comunicaciones de los usuarios y proporcionar respuestas ágiles ante posibles fraudes. 

Además, esta doctrina del Tribunal Supremo podría tener un efecto disuasorio frente a malas prácticas y generar una mayor confianza en los servicios de banca online, al exigir a los bancos un nivel más alto de diligencia y supervisión activa. 

Recomendaciones para empresas 

Las empresas, como usuarias intensivas de servicios bancarios digitales, deben también reforzar sus medidas internas de ciberseguridad: 

• Formación continua a empleados sobre phishing y suplantación. 

• Doble verificación para pagos, especialmente internacionales. 

• Protocolos claros para autorizar operaciones, revisados por departamentos de compliance. 

Asesoramiento especializado

Esta sentencia puede dar lugar a un aumento de reclamaciones por parte de consumidores y empresas afectadas por fraudes digitales. Nuestro equipo de expertos en derecho bancario y litigación puede ayudarte a valorar tu caso, iniciar las reclamaciones oportunas y reforzar las medidas de protección jurídica y tecnológica de tu organización.