El Tribunal de Justicia de la Unión Europea (TJUE) ha reforzado la protección de las personas que sufren fraudes de phishing, una técnica que suplanta a una entidad de confianza mediante mensajes o páginas falsas para obtener datos. En una sentencia emitida el 15 de octubre de 2026, el tribunal reiteró que los bancos no pueden rechazar inicialmente el reembolso de una operación de pago no autorizada por considerar que el cliente actuó con negligencia grave.
El caso analizado tuvo su origen en Polonia. Una clienta que vendía un artículo en una plataforma online recibió un enlace de alguien que se hizo pasar por una persona interesada en comprarlo. El vínculo conducía a una página que imitaba la de su banco, donde introdujo sus credenciales de banca online y un código de confirmación recibido por SMS.
Con esos datos, el estafador transfirió aproximadamente 700 euros desde la cuenta de la víctima a otra bajo su control. La clienta comunicó el fraude a su banco al día siguiente, pero la entidad se negó a devolver el dinero al considerar que había revelado de forma gravemente negligente sus datos de seguridad. El caso llegó a los tribunales para determinar si procedía el reembolso.
El TJUE señala que el artículo 74 permite al banco pedir que el cliente asuma la pérdida cuando exista negligencia grave, pero esa posibilidad no elimina la obligación de reembolsar primero las cantidades transferidas sin autorización. De este modo, la entidad debe devolver el dinero antes de discutir posteriormente si concurren las circunstancias que permitirían atribuir la pérdida al usuario.
La sentencia contempla una excepción. El banco puede negarse a efectuar el reembolso cuando tenga una sospecha grave de fraude por parte de su propio cliente. Para aplicar esa excepción, debe comunicar por escrito sus motivos a la autoridad nacional competente. Según el tribunal, la entidad financiera asume la carga de demostrar que se dan esas condiciones.
En la práctica
- La resolución se refiere a operaciones de pago no autorizadas realizadas después de un fraude de phishing.
- El cliente debe comunicar el fraude a su banco, como hizo la afectada del caso analizado al día siguiente de la transferencia.
- La negligencia grave alegada por la entidad no permite rechazar automáticamente el reembolso inicial.
- La negativa inmediata solo queda contemplada cuando exista una sospecha grave de fraude del propio cliente y el banco la comunique por escrito a la autoridad competente.
