El Supremo establece responsabilidad bancaria en casos de phishing

La reciente sentencia del Tribunal Supremo (STS 1671/2025) establece que los bancos deben responsabilizarse económicamente cuando sus clientes son víctimas de fraudes digitales como el phishing, incluso cuando los estafadores utilizan las credenciales correctas del usuario.

El caso analizado por el alto tribunal involucraba a un cliente de Ibercaja Banco que perdió más de 83.000 euros mediante transferencias no autorizadas realizadas a través de Bizum y la plataforma de banca online. Lo relevante es que la víctima había alertado previamente al banco sobre actividades sospechosas en su cuenta, pero la entidad no tomó medidas preventivas.

La sentencia es clara: los bancos no pueden limitarse a verificar que se introdujeron correctamente usuario, contraseña y código SMS. Deben analizar el contexto completo de las operaciones -horario, importes, destinatarios- y actuar cuando detecten patrones anómalos. Además, cuando un cliente niega haber autorizado una operación, corresponde al banco demostrar que no hubo fallos en su sistema.

Este fallo judicial supone un cambio importante. Hasta ahora, muchas entidades bancarias se negaban a devolver el dinero a clientes estafados, argumentando que estos habían sido negligentes al proteger sus credenciales. El Supremo deja claro que los bancos, como expertos en servicios financieros, deben implementar sistemas de seguridad más robustos y responder económicamente cuando estos fallan.

La decisión afectará a todos los casos de phishing, smishing (fraude por SMS) y SIM swapping (duplicado de tarjeta SIM), que han aumentado exponencialmente en los últimos años. Los bancos deberán mejorar sus sistemas de detección de fraudes y asumir los costes cuando no puedan demostrar que el cliente actuó con negligencia grave.

Para los consumidores, esta sentencia es una buena noticia. Significa mayor protección frente a un tipo de delito que puede dejar a cualquiera sin sus ahorros en cuestión de minutos. A partir de ahora, los bancos tendrán que demostrar que hicieron todo lo posible por prevenir el fraude antes de culpar al cliente.

Los expertos jurídicos consideran que esta decisión equilibra la balanza entre entidades financieras y usuarios, reconociendo que los bancos están en mejor posición para prevenir y detectar estos fraudes sofisticados. La sentencia sigue el espíritu de la normativa europea de pagos (PSD2), que busca proteger a los consumidores en el entorno digital.

En definitiva, el Supremo ha puesto fin a la época en que las víctimas de phishing bancario se quedaban sin su dinero por defectos en los sistemas de seguridad de las entidades. Un avance importante en la protección de los consumidores en la era digital.