Phishing bancario: ¿puedo reclamar a mi banco la devolución del dinero perdido?

El phishing bancario y otras estafas informáticas son cada vez más frecuentes en España. Los ciberdelincuentes suplantan la identidad de una entidad financiera y, a través de SMS, correos electrónicos o llamadas telefónicas, engañan al usuario para que facilite sus claves o valide operaciones fraudulentas.

La gran pregunta es: ¿puede el banco negarse a devolver el dinero en estos casos?

 Qué es el phishing bancario y cómo funciona

El phishing bancario consiste en la suplantación del banco mediante mensajes falsos que:

• Dirigen al cliente a una página web clonada.

• Le piden introducir sus claves de banca online.

• O incluso, combinan el engaño con llamadas (vishing) para que la víctima facilite códigos de verificación.

Con esta información, los delincuentes realizan operaciones no autorizadas, como transferencias, compras o elevaciones del límite de tarjetas.

https://clientebancario.bde.es/pcb/es/menu-horizontal/actualidadeducac/educacion-financiera/protegete-contra-el-fraude/

 Responsabilidad del banco en casos de phishing

La normativa europea y española establece que el banco debe responder de las operaciones no autorizadas:

• Real Decreto-Ley 19/2018 → el proveedor de servicios de pago (el banco) debe devolver inmediatamente el dinero sustraído, salvo que el cliente haya actuado con fraude o negligencia grave.

• Código Civil, art. 1104 → al cliente solo se le exige la diligencia de una persona media, no conocimientos expertos en seguridad informática.

• Texto Refundido de la Ley de Consumidores y Usuarios (arts. 147 y 148) → el banco tiene una responsabilidad cuasi objetiva: debe garantizar niveles de seguridad adecuados y responder salvo prueba en contrario.

En definitiva, la responsabilidad del banco en casos de phishing es clara: la entidad debe devolver el dinero si no prueba una negligencia grave del cliente.

 Jurisprudencia favorable al consumidor

Los tribunales españoles han dictado numerosas sentencias reconociendo la responsabilidad del banco y el derecho a la devolución del dinero:

• SAP Madrid, 20/05/2022 → el cliente pinchó en un enlace fraudulento, pero no se apreció negligencia grave. El banco fue condenado por no implementar sistemas tecnológicos de seguridad adecuados.

• SAP Pontevedra, 01/12/2022 → el phishing actual tiene tal complejidad que resulta “difícilmente detectable por una persona de formación media”.

• SAP La Rioja, 17/02/2023 → condena al banco por permitir elevar un límite de tarjeta en más de un 300% sin activar ninguna alarma de seguridad.

• SAP Zaragoza, 17/11/2022 → los avisos genéricos en la web del banco no exoneran de responsabilidad. Lo exigible son medidas técnicas reales.

• SAP Alicante, 12/03/2018 → la banca online tiene una responsabilidad cuasi objetiva: salvo negligencia grave del cliente, debe devolver las cantidades defraudadas.

 Qué pruebas necesitas para reclamar

Para reclamar la devolución del dinero perdido en phishing bancario, suele bastar con:

• Extractos de cuenta donde figuren las operaciones no autorizadas.

• Copia de la reclamación previa enviada al banco.

• Denuncia policial acreditando la estafa.

Los tribunales consideran poco útiles las testificales de empleados o los informes estandarizados de la entidad sobre sus sistemas de seguridad.

 Plazos para reclamar

• El RDL 19/2018 fija un plazo de 13 meses para notificar al banco las operaciones fraudulentas.

• Pero esto no limita la acción civil: puedes reclamar por incumplimiento contractual dentro del plazo de 5 años (art. 1964 CC).

• Así lo confirman la SAP Barcelona, 01/03/2021 y la SAP Jaén, 01/06/2021.

 Intereses e imposición de costas

Cuando se condena al banco a devolver el dinero por phishing bancario:

• Debe abonar intereses legales desde la reclamación extrajudicial.

• Y los intereses procesales del art. 576 LEC desde la sentencia hasta el pago completo.

• Además, en la mayoría de los casos, se impone al banco la condena en costas procesales, sobre todo cuando ignoró las reclamaciones previas del cliente.

 Conclusión: sí puedes reclamar la devolución del dinero

La jurisprudencia española es mayoritariamente favorable al consumidor: en casos de operaciones no autorizadas por phishing bancario, el banco debe devolver el dinero, salvo que pruebe negligencia grave del cliente.

El usuario medio no tiene por qué detectar complejas estafas informáticas ni asumir los riesgos de la banca digital. Quien debe garantizar la seguridad es la entidad financiera, que se beneficia de la digitalización y el ahorro de costes que conlleva.