La Justicia europea obliga a los bancos a devolver de inmediato el dinero sustraído a sus clientes víctimas de ciberestafas

Ser víctima de una ciberestafa no es plato de buen gusto para nadie. Que luego tu banco te diga que la culpa fue tuya y que te va a reembolsar la suma de dinero sustraída es bastante más doloroso. Sin embargo, sucede más veces de las que podemos imaginar, pese a que ya existe una normativa creada para proteger al usuario de ese tipo de ciberdelitos.

El Tribunal de Justicia de la UE acaba de dictar una sentencia que inclina un poco más la balanza a la hora de proteger a los usuarios que han sido víctimas de una ciberestafa: el banco debe poner el dinero sobre la mesa primero, y preguntar después. Nunca al revés.

Un enlace falso y 700 euros. Todo empezó con la denuncia de una ciberestafa en Polonia. Una mujer vendía un objeto por internet cuando, un supuesto comprador, le mandó un enlace para cerrar la venta. El mensaje parecía de la plataforma de venta, pero en realidad llevaba a una web clonada de su banco. Ella introdujo allí sus credenciales y el estafador se llevó unos 700 euros. Un phishing de manual. Al día siguiente, la victima avisó al banco, que negó el reembolso por considerar que ella había descuidado la custodia de sus credenciales de seguridad.

Ahora, el Tribunal de Justicia de la UE le ha dado la razón a la clienta. Según las conclusiones de la sentencia, esa negligencia grave "no le permite rehusar la devolución inmediata". Si el cliente avisa sin demora, el banco debe devolver el dinero como muy tarde al cierre del siguiente día hábil.

Cómo se defendían los bancos. La directiva europea relativa a los servicios de pago solo admite una excepción que se da cuando el banco sospecha, con motivos razonables, que el cliente ha cometido el fraude o alguna irregularidad. En ese caso, la entidad debe notificarlo por escrito a la autoridad nacional y no tendría que devolver el importe sustraído. Sin embargo, algunos bancos habían convertido en norma esa excepción y se aferraban a la negligencia grave del usuario para no pagar.

El artículo 45 de la normativa de servicios de pago ya obligaba a los bancos a devolver de inmediato las operaciones no autorizadas. Los tribunales ya habían empezado a frenar esa práctica. En abril de 2025, el Supremo obligó a Ibercaja a devolver 56.474 euros a la víctima de un SIM swapping. Los jueces reprocharon que algo tan raro como quince transferencias en una noche "no hiciera saltar las alarmas en ese mismo momento". En Galicia, varios juzgados condenaron a bancos por casos de phishing al no encontrar negligencia grave en las víctimas.

Primero se paga, luego se discute. La clave de la sentencia del Tribunal europeo está en el orden de los pasos del proceso de devolución del importe sustraído. El tribunal distingue entre devolver el dinero y decidir quién asume la pérdida. La devolución siempre debe llegar en primer lugar, y siempre corresponde al banco realizar el abono de forma "inmediata". El tribunal explica que, si este pudiera negarse de entrada como sucede en la actualidad, eso "privaría de efecto útil a la obligación de devolución inmediata" que recoge la normativa europea. Además, obligaría al cliente a demandar al banco para recuperar su dinero, con los costes legales que eso supone.

Si el banco demuestra que el cliente actuó de mala fe o con negligencia grave, en ese caso puede reclamarle la devolución del dinero. Es decir, se cambia la carga de la prueba y ya no le corresponde al usuario probar que no fue su culpa, sino que es responsabilidad del banco demostrar que el usuario actuó de forma negligente. En su voto particular, el magistrado general Rantos adelantó que, si el cliente se niega a devolver ese pago indebido, será el banco quien esté legitimado para acudir a los tribunales para reclamarlo.

El fraude con tarjetas y transferencias bancarias fue la primera causa de las reclamaciones admitidas en 2025 por el Banco de España. Supuso casi el 28% del total. Según datos del Balance Trimestral de Criminalidad de 2025 elaborado por el Ministerio del Interior, en todo el año pasado se registraron unas 430.493 estafas informáticas.

En Xataka | Jordi Nebot, experto en soluciones de pago: "Muy mal se tiene que dar para que hayas sido víctima de una estafa y no recuperes el dinero"