Un SMS que parece de tu banco, una llamada de un supuesto empleado que aparece con el número real de la entidad, un enlace idéntico a tu banca online. En pocos minutos el dinero desaparece de la cuenta. Y, con demasiada frecuencia, la respuesta del banco es la misma: «Usted actuó con negligencia grave, no procede la devolución».

El 15 de octubre de 2026, el Tribunal de Justicia de la Unión Europea ha puesto las cosas en su sitio. En el asunto C-70/25 (Tukowiecka) ha declarado que el banco debe devolver de inmediato el importe de una operación no autorizada, incluso cuando considere que el cliente fue gravemente negligente. La negligencia podrá discutirse, pero después, y será el banco quien tenga que probarla.

En este artículo explicamos qué ha dicho el Tribunal, qué cambia para las víctimas en España y qué pasos conviene dar cuanto antes. Nuestro despacho lleva años asistiendo a víctimas de fraudes bancarios y estafas online: esta sentencia refuerza argumentos que defendemos a diario.

El caso: un falso comprador, una web clonada y 700 euros perdidos

El asunto procede de Polonia. Una mujer vende un objeto en una plataforma online y un supuesto comprador le envía un enlace para «confirmar la venta». El enlace lleva a una copia exacta de la web de su banco, donde introduce sus claves. El estafador utiliza después un código SMS obtenido con engaño para transferir 3.000 zlotys, unos 705 euros.

La clienta avisa enseguida al banco y a la policía. El banco, PKO BP, se niega a devolver el dinero alegando que facilitar las claves en una web falsa es negligencia grave. El juzgado de Koszalin pregunta entonces al Tribunal de Justicia cómo debe interpretarse la directiva europea de servicios de pago (PSD2).

Qué ha decidido el Tribunal de Justicia de la UE

El Tribunal, siguiendo las conclusiones del Abogado General Rantos de marzo de 2026, fija cuatro principios.

1. Primero, devolver. Ante una operación no autorizada comunicada sin demora, el banco debe devolver el importe de inmediato y, a más tardar, al final del día hábil siguiente a aquel en que tuvo conocimiento de ella.
2. La negligencia grave no justifica la negativa. La mera convicción del banco de que el cliente fue negligente no permite ni denegar ni retrasar la devolución.
3. Una única excepción. El banco solo puede suspender la devolución si tiene motivos razonables para sospechar un fraude cometido por el propio cliente, y debe comunicarlo por escrito a la autoridad nacional competente (en España, el Banco de España).
4. Después, en su caso, discutir. En un segundo momento el banco puede reclamar el importe al cliente, pero solo si demuestra que actuó de forma fraudulenta o con negligencia grave. La carga de la prueba recae íntegramente sobre el banco.

El Tribunal explica el porqué: si el banco pudiera retener la devolución alegando negligencia, el derecho al reembolso inmediato quedaría vacío. Sería el cliente, ya perjudicado, quien tendría que pleitear para recuperar su dinero.

La sentencia separa así dos momentos que los bancos solían mezclar: la devolución inmediata, que es una obligación, y el reparto final de la pérdida, que debe probarse.

Lo que la sentencia no dice

El Tribunal no ha decidido si introducir las claves en una web falsa es, o no, negligencia grave: eso sigue correspondiendo al juez nacional, caso por caso. Además, la sentencia se refiere a operaciones no autorizadas, es decir, realizadas por el estafador con los datos de la víctima. No abarca directamente las transferencias que la propia víctima ordena engañada (por ejemplo, hacia una falsa plataforma de inversión), para las que existen otras vías.

Qué cambia en España

En España la PSD2 se incorporó mediante el Real Decreto-ley 19/2018, de servicios de pago, que ya contiene reglas muy similares a las recordadas por el Tribunal:

• devolución inmediata, a más tardar al final del día hábil siguiente, salvo sospecha fundada de fraude del cliente comunicada al Banco de España (art. 45);
• carga de la prueba sobre el banco: el uso del instrumento de pago o de las credenciales no basta, por sí solo, para demostrar que el cliente autorizó la operación ni que actuó con negligencia grave (art. 44);
• las pérdidas solo recaen sobre el cliente, más allá de la franquicia, en caso de fraude o negligencia grave (art. 46);
• la operación debe comunicarse sin demora y, en todo caso, dentro de los 13 meses siguientes al cargo (art. 43).

El Tribunal Supremo ya había marcado el camino. En su sentencia 571/2025, de 9 de abril, condenó a una entidad a devolver los importes sustraídos mediante phishing y duplicado de SIM: si el cliente niega haber autorizado una operación, es el banco quien debe probar el consentimiento, el correcto funcionamiento de sus sistemas y la negligencia del cliente. Además, declaró nulas las cláusulas que pretendían exonerar al banco de responsabilidad.

Aun así, en la práctica muchas entidades seguían rechazando la devolución de entrada, obligando al cliente a reclamar ante el Banco de España o los tribunales. La sentencia C-70/25, vinculante para todos los jueces nacionales, deja esa práctica sin apenas margen.

Un problema cada vez mayor

Según la Memoria 2025 del Servicio de Reclamaciones del Banco de España, el fraude en operaciones con tarjeta y transferencias fue la primera causa de las reclamaciones admitidas, con casi el 28 % del total, y sigue creciendo.

En el plano europeo, el futuro Reglamento de servicios de pago (PSR), con acuerdo político de noviembre de 2025 y aplicación prevista a partir de 2028, introducirá un derecho de reembolso en casos de suplantación del banco (spoofing), ampliará la verificación de nombre e IBAN y permitirá a los bancos repetir contra plataformas y operadoras que no frenen el fraude. En el Reino Unido, desde octubre de 2024 los bancos reembolsan a las víctimas de transferencias «autorizadas» bajo engaño hasta 85.000 libras. La dirección es clara: el riesgo del fraude digital ya no puede recaer automáticamente sobre el cliente.

Si has sido víctima de phishing: qué hacer

La sentencia protege a quien actúa con rapidez. Estos son los pasos, por orden.

1. Bloquea tarjetas y accesos. Llama al teléfono de emergencias de tu banco, bloquea tarjetas y banca online y cambia tus contraseñas.
2. Reclama por escrito, de inmediato. Envía una reclamación por escrito (burofax o canal oficial del banco) indicando que no autorizaste la operación y solicitando la devolución inmediata. Guarda justificante de la fecha.
3. Denuncia. Presenta denuncia ante la Policía Nacional o la Guardia Civil, aportando mensajes, enlaces, correos y números utilizados por el estafador. También puedes pedir orientación en el 017, la línea de ayuda en ciberseguridad de INCIBE.
4. Conserva todas las pruebas. Capturas de SMS, chats, llamadas y de la web falsa, extractos y notificaciones de la app.
5. No te quedes en un «no» basado en la negligencia grave. Ese rechazo choca hoy frontalmente con lo decidido por el Tribunal de Justicia.
6. Busca asesoramiento. Un abogado puede comprobar si el banco cumplió sus obligaciones, exigir los registros de las operaciones y elegir la vía más eficaz: reclamación al servicio de atención al cliente, Banco de España o demanda judicial.

Si el banco ya te denegó la devolución en el pasado, no lo des todo por perdido: la posibilidad de reabrir el caso depende de los plazos y de las circunstancias, y conviene que la valore un profesional.

Cómo puede ayudarte Giambrone & Partners

Nuestro despacho internacional asiste desde hace años a particulares y empresas víctimas de fraudes bancarios y estafas online: phishing, smishing, vishing, spoofing de falsos empleados, pero también estafas de inversión, trading online y criptomonedas.

En concreto, cuando nos contactas:

• analizamos tu caso, distinguiendo si se trata de una operación no autorizada (donde la sentencia C-70/25 se aplica directamente) o de una transferencia ordenada bajo engaño, que requiere otras herramientas;
• revisamos la actuación del banco: plazos de devolución, autenticación utilizada, sistemas antifraude, señales de alerta ignoradas;
• gestionamos la reclamación ante el banco y, si es necesario, ante el Banco de España o los tribunales;
• actuamos más allá de las fronteras, gracias a nuestra presencia internacional, cuando el banco o la cuenta del estafador están en otro país.

Cada caso es distinto y el tiempo cuenta. Si has sufrido un cargo no autorizado o tu banco se niega a devolverte el dinero, habla con un abogado de nuestro equipo: valoraremos juntos tu situación y las opciones realmente disponibles.

Preguntas frecuentes

¿El banco tiene que devolverme el dinero si he sido víctima de phishing?
Sí, si no autorizaste la operación y la comunicaste sin demora. Según el Tribunal de Justicia de la UE (asunto C-70/25), el banco debe devolverlo de inmediato, aunque considere que fuiste negligente.

¿En qué plazo debe devolverlo?
A más tardar al final del día hábil siguiente a aquel en que el banco tuvo conocimiento de la operación no autorizada.

¿Puede el banco negarse alegando negligencia grave?
No de entrada. Solo puede suspender la devolución si sospecha un fraude del propio cliente y lo comunica por escrito al Banco de España. La negligencia grave solo puede alegarse después de la devolución, y debe probarla el banco.

¿Cuánto tiempo tengo para reclamar?
Debes comunicarlo sin demora, en cuanto lo detectes, y en todo caso dentro de los 13 meses siguientes al cargo.

¿Se aplica la sentencia si hice yo la transferencia, engañado por un estafador?
No directamente: se refiere a operaciones no autorizadas. Si ordenaste tú el pago, existen otras vías de protección que deben valorarse caso por caso.

El banco ya me denegó la devolución. ¿Puedo hacer algo todavía?
Posiblemente sí. Una negativa basada solo en la negligencia grave ya era difícilmente compatible con la PSD2; la posibilidad de actuar hoy depende de los plazos y las circunstancias, y conviene que la revise un abogado.