Sentencia: Tribunal Supremo, Sala de lo Civil, Sección 1.ª, sede en Madrid, Sentencia n.º 571/2025, de 9 de abril de 2025.
Procedimiento: Recurso de casación n.º 1151/2023, dimanante del Recurso de apelación n.º 20/2022 de la Sección 5.ª de la Audiencia Provincial de Zaragoza, derivado a su vez del Juicio Ordinario n.º 505/2021 del Juzgado de Primera Instancia n.º 7 de Zaragoza.
Entidad bancaria: Ibercaja Banco S.A.
El Tribunal Supremo ha desestimado el recurso de casación interpuesto por Ibercaja Banco S.A., confirmando la condena dictada en las instancias previas por un caso de fraude bancario mediante la modalidad de SIM swapping, en el que un cliente sufrió la sustracción patrimonial de sus fondos a través de operaciones no autorizadas.
Mediante operaciones fraudulentas, se ejecutaron en total quince transferencias bancarias: diez mediante la plataforma Bizum (por valor de 500 euros cada una) y cinco a través de la banca electrónica «Ibercaja Directo», acumulando un cargo total de 83.692,73 euros al sumar las comisiones generadas. Los delincuentes lograron llevar a cabo el fraude tras realizar un duplicado no autorizado de la tarjeta SIM del teléfono móvil de la esposa del perjudicado en un distribuidor comercial, lo que les permitió tener acceso y recibir los códigos de confirmación enviados por mensaje de texto (SMS) para validar las transacciones. Tras la pertinente reclamación extrajudicial, se recuperaron y reintegraron al cliente 27.218,10 euros, quedando el importe neto del perjuicio reclamado en 56.474,63 euros.
El cliente negó en todo momento haber ordenado o consentido las operaciones y mantuvo una postura plenamente diligente. De hecho, semanas antes ya había alertado a la sucursal de la recepción de SMS extraños y el día anterior al fraude acudió presencialmente a la oficina para advertir sobre alertas críticas de seguridad emitidas por Google y solicitar la cancelación de su tarjeta física. El afectado descubrió la sustracción a la mañana siguiente gracias al aviso de una entidad externa (Banco Santander) que alertó a su sucursal de origen al detectar movimientos altamente sospechosos. Por su parte, Ibercaja Banco alegó que las operaciones contaron con la correcta identificación del usuario y el doble factor de autenticación formalizado contractualmente, rechazando cualquier responsabilidad por supuestas vulnerabilidades externas a su control técnico.
El Tribunal Supremo recuerda que, conforme al régimen legal de servicios de pago, la responsabilidad del proveedor de servicios es de naturaleza cuasi objetiva ante operaciones de pago no autorizadas. El mero registro formal de una transacción con claves correctas y SMS no es prueba suficiente para imputar negligencia al cliente. Corresponde en exclusiva a la entidad bancaria demostrar la existencia de fraude o una negligencia grave por parte del usuario, lo cual queda descartado en este caso dada la actividad diligente del demandante. Asimismo, el tribunal resalta las deficiencias del servicio de la demandada al no activar alertas inmediatas ni extremar precauciones ante una súbita oleada de transferencias nocturnas por valor de más de 80.000 euros. Por todo ello, se confirma la obligación de Ibercaja Banco S.A. de restituir al demandante la cantidad de 56.474,63 euros, junto con sus correspondientes intereses legales.