La transformación digital del sistema financiero ha supuesto una auténtica revolución en la forma de relacionarse con las entidades bancarias. La contratación electrónica, la generalización de la banca online y la utilización masiva de aplicaciones móviles han facilitado enormemente la operativa bancaria diaria, permitiendo a cualquier usuario realizar transferencias, pagos o contrataciones financieras de manera inmediata y desde cualquier lugar.
Sin embargo, este avance tecnológico también ha traído consigo un incremento exponencial de la ciberdelincuencia financiera. En los últimos años, las estafas digitales vinculadas a servicios de pago se han convertido en una de las principales amenazas tanto para consumidores como para entidades financieras, situándose el phishing, el smishing y la suplantación de identidad bancaria entre las modalidades delictivas más frecuentes y sofisticadas del panorama actual.
La realidad práctica demuestra que los mecanismos utilizados por los ciberdelincuentes han evolucionado hasta alcanzar niveles de perfección técnica extremadamente elevados. Ya no se trata únicamente de correos electrónicos rudimentarios o mensajes fácilmente identificables como fraudulentos. En la actualidad, las organizaciones criminales son capaces de replicar con absoluta precisión páginas web oficiales de entidades bancarias, insertar mensajes fraudulentos dentro de hilos reales de comunicación del banco, suplantar números oficiales de atención al cliente e incluso manipular psicológicamente a las víctimas mediante técnicas avanzadas de ingeniería social.
Precisamente esta sofisticación creciente del fraude ha provocado un profundo debate jurídico sobre la distribución de responsabilidades entre el consumidor afectado y la entidad financiera prestadora del servicio de pago. Este debate debe analizarse necesariamente a la luz de la Directiva (UE) 2015/2366 (PSD2) y del Real Decreto-Ley 19/2018, de Servicios de Pago, normativa que establece un régimen especialmente protector para el usuario en materia de operaciones no autorizadas.
Durante años, la posición mantenida por numerosas entidades bancarias fue relativamente uniforme: si la operación había sido validada mediante claves personales o sistemas de autenticación aparentemente correctos, la responsabilidad debía recaer sobre el propio usuario por haber facilitado voluntariamente sus credenciales de acceso.
Sin embargo, esta interpretación comenzó progresivamente a ser cuestionada por la jurisprudencia menor, especialmente por distintas Audiencias Provinciales, que advirtieron cómo este tipo de delitos no podían analizarse desde parámetros tradicionales de culpa del consumidor, teniendo en cuenta la complejidad técnica de los mecanismos fraudulentos empleados.
En este sentido, ya se venía afirmando que la responsabilidad exigida a las entidades financieras derivaba directamente de la naturaleza profesional de la actividad desarrollada y de la obligación de implementar medidas de seguridad eficaces capaces de prevenir operaciones fraudulentas. Se consolidaba así una tendencia jurisprudencial que entendía que el denominado “riesgo operacional” asociado a la banca digital debía ser asumido primordialmente por las entidades financieras, como titulares y beneficiarias del sistema tecnológico de pagos.
Especialmente significativa resultó la SAP Madrid (Sección 20ª) núm. 184/2022, de 20 de mayo, que incidió en el deber de las entidades financieras de implementar mecanismos tecnológicos eficaces de detección del fraude y sistemas adecuados de protección frente a técnicas de phishing cada vez más sofisticadas. Del mismo modo, la SAP Pontevedra (Sección 3ª) núm. 623/2022, de 1 de diciembre, subrayó que las entidades bancarias no podían limitarse a formular advertencias genéricas a los clientes, sino que debían adoptar auténticas medidas activas de prevención y detección del fraude.
La jurisprudencia comenzó entonces a poner el foco no tanto en la conducta de la víctima, sino en las deficiencias de seguridad existentes en los sistemas bancarios. Se cuestionaba especialmente la ausencia de mecanismos eficaces de detección de operaciones sospechosas, la insuficiencia de los sistemas de autenticación reforzada o la inexistencia de protocolos capaces de bloquear movimientos claramente anómalos respecto del comportamiento habitual del cliente.
A ello se unía otro elemento esencial: la dificultad de considerar que el usuario presta verdaderamente un consentimiento válido cuando actúa inducido por un engaño cuidadosamente diseñado por delincuentes especializados. El phishing moderno no se basa en simples errores del consumidor, sino en técnicas de manipulación altamente sofisticadas que generan en la víctima la apariencia absoluta de estar operando legítimamente con su propia entidad bancaria.
Precisamente sobre esta cuestión comenzó también a evolucionar la jurisprudencia relativa a la negligencia grave del usuario. Así, la SAP Madrid (Sección 10ª) núm. 24/2023, de 13 de enero, afirmó expresamente que este tipo de fraudes constituyen “un tipo de fraude muy específico del que es fácil ser víctima”, descartando que el mero hecho de caer en un engaño sofisticado permita apreciar automáticamente negligencia grave por parte del cliente.
En la misma línea, la SAP Oviedo (Sección 5ª) núm. 404/2024, de 17 de septiembre, insistió en que corresponde exclusivamente a la entidad financiera acreditar que el usuario actuó fraudulentamente o incumplió gravemente sus obligaciones de custodia de las credenciales bancarias, recordando además que la responsabilidad del proveedor de servicios de pago presenta un marcado carácter cuasi objetivo.
Sobre esta evolución jurisprudencial se proyecta ahora la trascendental Sentencia núm. 571/2025, de 9 de abril, dictada por la Sala Primera del Tribunal Supremo, resolución que ha supuesto un auténtico punto de inflexión en la interpretación de la responsabilidad derivada de las operaciones bancarias no autorizadas.
La importancia de esta sentencia no reside únicamente en el supuesto concreto analizado, sino en la consolidación definitiva de una doctrina claramente protectora del consumidor frente a los riesgos inherentes a la banca digital.
El Tribunal Supremo abandona cualquier interpretación automática según la cual la mera utilización de claves válidas implicaría necesariamente la autorización de la operación fraudulenta. La sentencia reconoce expresamente que en los supuestos de phishing el consentimiento del usuario se encuentra viciado por engaño, de modo que el hecho de introducir credenciales bancarias en una plataforma aparentemente legítima no puede equivaler jurídicamente a consentir una transferencia fraudulenta.
Este razonamiento posee una enorme trascendencia práctica. Durante años, gran parte de las negativas bancarias al reintegro de cantidades sustraídas se fundamentaban precisamente en la aparente “voluntariedad” del cliente al introducir sus claves o códigos de validación. Sin embargo, el Tribunal Supremo reconoce ahora que la actuación de la víctima se produce bajo una manipulación fraudulenta cuidadosamente diseñada, eliminando así la pretendida equivalencia entre autenticación técnica y consentimiento jurídicamente válido.
La sentencia refuerza además otro de los pilares esenciales de la normativa de servicios de pago: la carga de la prueba corresponde a la entidad financiera. Conforme al artículo 44 del Real Decreto-Ley 19/2018, es el proveedor de servicios de pago quien debe acreditar no solo que la operación fue correctamente autenticada y registrada, sino también que no existió fallo técnico alguno y, especialmente, que el usuario actuó con fraude o negligencia grave.
En este sentido, las resoluciones más recientes vienen rechazando de manera cada vez más contundente que cualquier error o descuido del consumidor pueda calificarse automáticamente como negligencia grave. Los tribunales han comenzado a asumir que el usuario medio difícilmente puede detectar fraudes tecnológicos extremadamente sofisticados, especialmente cuando estos reproducen con absoluta fidelidad la apariencia, lenguaje y canales oficiales de comunicación de las entidades financieras.
En consecuencia, la negligencia grave pasa a configurarse como una excepción de interpretación restrictiva, reservada únicamente para supuestos verdaderamente temerarios o manifiestamente irresponsables, pero no para aquellos casos en los que el consumidor ha sido víctima de una manipulación informática compleja.
La STS 571/2025 consolida así una tendencia que ya venía desarrollándose en numerosas Audiencias Provinciales: la creciente objetivación de la responsabilidad bancaria en materia de fraude digital.
Ello conecta directamente con el tradicional principio del bonus argentarius, conforme al cual a las entidades financieras se les exige un nivel de diligencia especialmente intenso debido a su profesionalidad, al control técnico de los sistemas de pago y al beneficio económico obtenido mediante la prestación de servicios financieros digitales.
Las entidades bancarias no pueden limitarse a proporcionar plataformas tecnológicas y trasladar posteriormente al consumidor todo el riesgo derivado de su utilización. La digitalización del sistema financiero exige correlativamente la implantación de mecanismos de seguridad eficaces, actualizados y proporcionados al riesgo tecnológico existente.
Por ello, la jurisprudencia actual está comenzando a exigir a las entidades financieras una actuación mucho más activa en la prevención del fraude, incluyendo sistemas de monitorización automática, controles reforzados ante operaciones sospechosas, análisis de comportamiento del usuario, alertas inmediatas o bloqueos preventivos frente a movimientos incompatibles con el perfil habitual del cliente.
En definitiva, el panorama jurídico actual evidencia un cambio de paradigma en la protección de los consumidores frente a las estafas bancarias digitales.
La evolución tecnológica del fraude ya no permite seguir sosteniendo interpretaciones basadas exclusivamente en la supuesta imprudencia del usuario. Los tribunales han comenzado a asumir que el verdadero centro de gravedad del problema reside en la obligación de las entidades financieras de garantizar sistemas de pago suficientemente seguros frente a riesgos tecnológicos cada vez más previsibles y sofisticados.
La banca digital ya no puede construirse sobre un modelo en el que el consumidor asuma íntegramente las consecuencias del riesgo tecnológico. Y en este nuevo escenario jurídico, la Sentencia 571/2025 del Tribunal Supremo ha marcado, sin duda, un antes y un después.