La justicia europea obliga a los bancos a devolver de inmediato el dinero a las víctimas de ciberestafas, incluso cuando la entidad sospeche que el cliente actuó con negligencia al introducir sus claves en una web falsa. El Tribunal de Justicia de la Unión Europea (TJUE) cambia así las reglas del juego y abre la puerta a que miles de afectados revisen reclamaciones que sus bancos rechazaron en los últimos años. El fallo, hecho público el 15 de octubre de 2026, establece que caer en un engaño de phishing no equivale de forma automática a una imprudencia temeraria. Hasta ahora la banca se amparaba en ese argumento para negar las devoluciones; la nueva jurisprudencia del Tribunal de Justicia de la Unión Europea invierte el orden de los pasos: primero el banco reintegra el dinero sustraído y, solo después, si lo considera oportuno, puede demandar al cliente para demostrar su culpa. ¿Qué cambia el TJUE sobre la negligencia grave en el phishing?
El tribunal ha dejado claro que introducir una clave o un código recibido por SMS en una web falsa ya no basta para que el banco se niegue a devolver los fondos. La carga de la prueba recae ahora sobre la entidad financiera, no sobre el cliente. «Los bancos no devuelven el dinero en la mayoría de casos a los clientes», explica Fernando Zunzunegui, abogado experto en derecho bancario y financiero. Hasta la fecha de la sentencia, a la banca le bastaba con alegar que el usuario había facilitado sus propios datos para dar carpetazo a la reclamación. Ahora, una vez devuelto el dinero, es la entidad la que tiene que demostrar con pruebas que hubo una imprudencia temeraria real por parte del cliente, y no al revés.
Ese giro en quién debe demostrar qué cambia la lógica habitual de estas reclamaciones: ya no es el cliente quien tiene que probar que actuó con cuidado, sino el banco quien debe acreditar lo contrario. ¿Quién puede reclamar ahora una devolución que el banco rechazó? Pueden revisar su caso quienes sufrieron un fraude y recibieron una negativa en años anteriores, siempre que su acción no haya prescrito. «Quienes hayan sufrido un fraude bancario y recibido una negativa al reembolso en 2021, 2022, 2023, 2024 o 2025 pueden revisar sus casos a la luz de la sentencia del Tribunal de Justicia de la Unión Europea de 15 de octubre de 2026, siempre que su acción no haya prescrito», concreta a RTVE Noticias Fernando Zunzunegui. Si ya recibiste una respuesta negativa del servicio de atención al cliente de tu banco en esos años, esa reclamación previa sirve como resguardo para acudir ahora a los tribunales con las nuevas reglas. «Esta jurisprudencia impone revisar, caso por caso, los supuestos en los que el banco ya ha rechazado la devolución», asegura Zunzunegui, que recomienda acudir a un abogado especializado en fraudes de servicios de pago para estudiar cada expediente antes de dar nada por perdido. Plazos que importan: avisar en 13 meses, reclamar antes de cinco años Antes de reclamar conviene comprobar dos fechas.
La primera es la del aviso al banco: el único requisito indispensable del pasado es haber notificado el fraude dentro de los primeros 13 meses desde que desapareció el dinero de la cuenta. Sin ese aviso dentro de plazo, la reclamación pierde su principal respaldo documental. El límite para reclamar ahora es la prescripción de las acciones legales, que en este tipo de reclamaciones de responsabilidad contractual suele situarse en cinco años desde que ocurrió la ciberestafa. Eso deja fuera, en principio, los casos anteriores a 2021, mientras que los de 2021 en adelante siguen abiertos si no ha transcurrido ese plazo.
Quien no cumpla alguno de estos dos plazos corre el riesgo de quedar fuera del nuevo marco de protección, así que lo primero es revisar las fechas exactas del fraude, el aviso al banco y la respuesta recibida antes de preparar cualquier reclamación. El banco debe devolver el dinero en 24 horas y reclamar después si quiere El nuevo protocolo mete prisa a las entidades. Según el fallo, los bancos disponen de un único día hábil (24 horas) tras recibir el aviso del cliente para reintegrarle hasta el último céntimo sustraído. Si la entidad sospecha que el cliente miente o cometió una negligencia real, no puede retener el dinero: debe acudir ella misma a los juzgados para demandar al usuario.
Esto es lo que en derecho se conoce como «solve et repete», es decir, «paga y luego reclama». El banco tiene que reabonar de inmediato la cuenta del cliente y, si quiere recuperar los fondos, le corresponde a la propia entidad demostrar el fraude ante un juez. Zunzunegui explica que quien acabe devolviendo el dinero al banco puede ser el estafador, la entidad beneficiaria de la transferencia, la compañía telefónica o las plataformas de internet que propiciaron la llamada o el enlace fraudulento. ¿Qué puede hacer ahora quien sufrió un fraude y no recuperó su dinero? Los expertos recomiendan seguir una hoja de ruta sencilla antes de acudir a los tribunales.
Primero hay que comprobar que el fraude se comunicó al banco dentro de los 13 meses posteriores al robo y que la acción todavía no ha prescrito. A continuación, lo siguiente es localizar la respuesta negativa que dio en su momento el servicio de atención al cliente, porque ese documento sirve de resguardo para reabrir el caso. Si fuiste tú quien recibió esa negativa, mientras se revisa el expediente no tienes que demostrar nada adicional: la carga de probar la negligencia recae en el banco, que es quien debe acudir a los tribunales si quiere recuperar el dinero ya reembolsado. El paso final, según recomienda el propio Zunzunegui, es acudir a un abogado especializado en fraudes de servicios de pago para que revise el expediente concreto, ya que cada caso depende de la fecha del fraude, el canal usado por el estafador y la respuesta que diera el banco en ese momento.
Cómo rechazaban los bancos las reclamaciones por fraude hasta ahora El patrón que seguía la banca para negar las devoluciones consistía en acusar de negligencia al cliente. Cuando una víctima reclamaba, lo primero que le pedían era acudir a comisaría a poner una denuncia. En ese documento el afectado reconocía haber sido engañado por un tercero, y el banco usaba después ese papel para argumentar que, al reconocer el engaño, no tenía derecho a reclamar. Si el cliente insistía ante el Banco de España, el supervisor se declaraba incompetente para resolver el conflicto.
Con ese circuito cerrado, el año pasado hubo 5.000 denuncias de este tipo inadmitidas por el organismo. Antes de la sentencia del TJUE, los bancos rechazaban el 85% de las devoluciones alegando que la ciberestafa había sido culpa del propio usuario. Ese circuito explica por qué el porcentaje de rechazo se mantuvo tan alto durante años, y por qué ahora los despachos especializados hablan de una ventana para revisar expedientes que hasta ahora se daban por perdidos. ¿Cuánto le costará a la banca esta sentencia y qué dicen los consumidores? El importe a devolver en España como consecuencia de esta sentencia se calcula en 1.000 millones de euros.
La cifra se enmarca en un fraude en los medios de pago que, solo dentro del Espacio Económico Europeo, asciende a 4.200 millones de euros al año. Las asociaciones de consumidores, como ASUFIN y la OCU, celebran el fallo y anticipan una oleada de reclamaciones. Patricia Suárez, presidenta de ASUFIN, explica que «considera especialmente acertado que se establezca la obligación de reembolsar primero y reclamar después, pues impide que las entidades se escuden en una supuesta negligencia del cliente sin aportar pruebas suficientes». Pese a la sentencia, ASUFIN y la OCU advierten de que los bancos intentarán esquivarla alegando que, si el usuario introdujo la clave de su propia aplicación, la operación fue autorizada.
Ambas organizaciones defienden lo contrario: el consentimiento quedó viciado por la manipulación del ciberdelincuente, conocida como ingeniería social, por lo que esas operaciones deben considerarse no autorizadas y, por tanto, reembolsables en su totalidad. Ese debate sobre qué cuenta como operación autorizada será, previsiblemente, el terreno donde se libren los próximos litigios entre bancos y clientes.
