Las estafas bancarias a través de técnicas como el phishing, el smishing o la duplicación de tarjetas SIM se han convertido en uno de los principales quebraderos de cabeza para los usuarios de la banca online.

Sin embargo, una sentencia del Tribunal Supremo, la número 571/2025, de 9 de abril de 2025, ha blindado los derechos de los consumidores al establecer un marco claro de responsabilidades.

El Alto Tribunal ha dejado en negro sobre blanco que, cuando un cliente niega haber autorizado una operación, es el banco quien debe probar que esta fue efectivamente consentida o que el usuario incurrió en una negligencia inexcusable.

No basta con que la entidad demuestre que sus sistemas funcionaban correctamente o que se utilizaron las claves de acceso, ya que el simple registro de la operación no equivale a una autorización expresa y consciente por parte del cliente.

La sentencia analiza un caso paradigmático en el que un cliente de Ibercaja fue víctima de una estafa de SIM swapping, sufriendo 15 transferencias no autorizadas que ascendieron a más de 83.000 euros en una sola noche.

Lo más relevante del fallo es que el cliente había alertado al banco semanas antes sobre mensajes sospechosos, y a pesar de ello, la entidad no activó ningún protocolo de seguridad adicional ni detectó el movimiento inusual de fondos.

El Supremo concluyó que la entidad prestó un servicio deficiente y que no puede eximirse de responsabilidad alegando que el cliente fue víctima de un engaño, a menos que acredite que este actuó con dolo o negligencia grave, algo que no se produjo en este caso.

Los pasos que debes seguir si eres víctima de un fraude bancario

Ante un supuesto de fraude digital, la rapidez en la actuación resulta determinante tanto para minimizar el daño como para conservar los derechos frente a la entidad bancaria.

Los expertos jurídicos recomiendan seguir un protocolo de actuación claro y documentado para aumentar las probabilidades de recuperar el dinero sustraído. El primer paso consiste en contactar inmediatamente con el banco para solicitar el bloqueo de las cuentas y tarjetas afectadas, así como cambiar todas las contraseñas de acceso desde un dispositivo seguro que no haya podido estar comprometido.

Es fundamental conservar todas las pruebas posibles, incluyendo capturas de pantalla de los mensajes sospechosos recibidos, los SMS con códigos no solicitados y cualquier comunicación mantenida con la entidad.

La comunicación con el banco debe realizarse preferiblemente por escrito, ya sea mediante correo electrónico, formulario web o burofax, dejando constancia de que se está notificando la existencia de operaciones no autorizadas y solicitando formalmente la devolución del importe sustraído.

Si la entidad bancaria rechaza la reclamación o no responde en un plazo razonable, el siguiente escalón es acudir al servicio de atención al cliente de la propia entidad y, posteriormente, presentar una reclamación ante el Banco de España, aunque este organismo no siempre resuelve a favor del consumidor en estos casos.

La jurisprudencia del Supremo refuerza la posición del cliente al establecer que el mero hecho de haber sido engañado por un estafador profesional no puede considerarse negligencia grave por parte del usuario.

Las entidades financieras están obligadas a disponer de sistemas de seguridad robustos y a actuar con la diligencia propia de un experto, lo que implica detectar operaciones anómalas, activar alertas automáticas y bloquear movimientos inusuales para proteger a sus clientes.

Cualquier cláusula contractual que pretenda eximir al banco de esta responsabilidad será considerada nula por contravenir la normativa imperativa de protección al consumidor. En definitiva, si has actuado con responsabilidad y has denunciado el fraude a tiempo, la ley está de tu parte y el banco debe devolverte el dinero.