Phishing bancario: el Supremo obliga a los bancos a responder

¿Qué dice el Tribunal Supremo sobre los fraudes por phishing?

Cada vez más personas sufren fraudes bancarios a través de técnicas de phishing: correos, SMS o llamadas telefónicas de la entidad bancaria que suplantando su imagen para conseguir datos y sustraer dinero de sus cuentas. Cuando ocurre, la respuesta habitual del banco es negarse a devolver el importe, alegando que fue el cliente quien autorizó la operación.

Sin embargo, una sentencia reciente del Tribunal Supremo ha cambiado el criterio: si el banco no demuestra que el cliente actuó con negligencia grave o fraude, debe asumir la responsabilidad, devolviendo las cantidades sustraídas. 

En Sirvent y Granados te explicamos qué implica esta decisión, cómo puede ayudarte si has sido víctima de phishing y qué pasos puedes seguir para reclamar.

¿Qué dice exactamente la sentencia del Tribunal Supremo?

La sentencia 571/2025 del Tribunal Supremo en fecha 9 de abril marca un antes y un después en los casos de fraude por phishing bancario. Hasta ahora, muchas entidades financieras se negaban a devolver el dinero alegando que el cliente había actuado con negligencia al facilitar sus datos o autorizar operaciones fraudulentas.

Pero el Alto Tribunal ha dejado claro que no basta con esa afirmación general. Si el banco quiere eludir su responsabilidad, debe demostrar de forma clara y concreta que el cliente actuó con negligencia grave o intenciones fraudulentas. Y si no lo hace, deberá asumir las consecuencias del fraude y devolver el importe sustraído.

En este caso, el cliente fue víctima de un engaño bien elaborado a través de una técnica de phishing. Aunque el banco alegó que la operación se hizo con claves correctas, no aportó pruebas suficientes para demostrar que el cliente había actuado con descuido o que se trataba de una operación habitual.

La sentencia recuerda que los bancos deben disponer de sistemas de seguridad adecuados para proteger a sus usuarios y que no pueden trasladar automáticamente la carga de la prueba al cliente, debiendo actuar con la diligencia debida en sus actuaciones, y correspondiendo a la entidad la prueba de que el usuario del servicio de pago cometió fraude o negligencia grave.

En otras palabras: si eres víctima de phishing y el banco no puede demostrar claramente que actuaste de forma fraudulenta, o mediando negligencia grave, debe devolverte el dinero.

¿Cómo afecta esta sentencia a nuevas reclamaciones por phishing?

Este fallo del Tribunal Supremo crea una jurisprudencia muy relevante que puede beneficiar a miles de personas afectadas por fraudes bancarios. A partir de ahora, los jueces tienen un criterio claro para valorar este tipo de casos: la responsabilidad es del banco, salvo que pruebe que el cliente actuó con negligencia grave.

Eso cambia por completo el panorama para quienes han sufrido un fraude por phishing y hasta ahora no se atrevían a reclamar, o se encontraron con negativas automáticas por parte de su entidad. Ya no basta con que el banco diga que la operación se hizo “con claves válidas” o que el cliente “debió tener más cuidado”.

Ahora será la entidad la que deba demostrar que tú actuaste mal, y no al revés. Esto refuerza la posición del consumidor y abre la puerta a muchas reclamaciones que, antes de esta sentencia, podían considerarse perdidas de antemano.

Con esta reciente sentencia, las víctimas de este tipo de estafas, a las que le fueron sustraídas sus claves por medio de engaño y/o manipulación, ven protegidas sus reclamaciones al ser el banco el que tiene la totalidad de la carga de probar su negligencia o intenciones fraudulentas. No puede considerarse negligencia grave, que la víctima haya sido engañada por un estafador experto, que haciendo uso de la imagen y credenciales de la entidad, consigue engañar suficientemente al consumidor para robar el dinero de sus cuentas bancarias, sino que la entidad debe justificar la concurrencia de circunstancias agravantes, probando una negligencia grave o fraude en sus actuaciones.

En Sirvent & Granados ya estamos aplicando este criterio en reclamaciones bancarias. Si has sido víctima de phishing, esta sentencia puede darte la base legal para recuperar tu dinero.

¿Qué puedes hacer si has sido víctima de phishing?

Si has sufrido un fraude bancario y tu banco se ha negado a devolverte el dinero, ahora tienes una nueva oportunidad para reclamar. Esta sentencia del Tribunal Supremo marca un antes y un después: ya no basta con que la operación se haya realizado con tus claves, el banco tiene que demostrar que actuaste con negligencia grave o intenciones fraudulentas. 

No puede considerarse negligencia grave, que la víctima haya sido engañada por un estafador experto, que haciendo uso de la imagen y credenciales de la entidad, consigue engañar suficientemente al consumidor para robar el dinero de sus cuentas bancarias. Pero sí que se debe proceder, con la diligencia debida y esperable por parte del consumidor, una vez se haya producido la sustracción de las cantidades, comunicando de inmediato esta situación a la entidad bancaria, cooperando con ella en todo momento.

Desde Sirvent & Granados te recomendamos:

• Comunicar de inmediato a la entidad bancaria que ha sido víctima de phishing: Mediante escrito formal, queja presencial en sus oficinas, llamada telefónica o incluso reclamación ante el Banco de España.
• Reunir toda la documentación disponible: extractos bancarios, comunicaciones con el banco, denuncias y cualquier prueba del fraude.
• Evita firmar acuerdos o documentos con los que renuncies a reclamar sin haber recibido asesoramiento legal.
• Consultar con un abogado bancario que valore tu caso a la luz de esta nueva sentencia y te indique si puedes recuperar tu dinero.

Cada caso es distinto, pero esta sentencia abre nuevas vías para reclamar con éxito.