La entidad debe reembolsar el importe de una operación no autorizada a más tardar al final del siguiente día hábil, incluso aunque alegue negligencia grave del cliente. Si considera que la hubo, deberá acreditarla después y reclamar la cantidad. La banca europea y española afronta una nueva y millonaria factura económica.
Las estafas bancarias son cada vez más frecuentes y sofisticadas. Según los últimos datos del Banco Central Europeo, de la Autoridad Bancaria Europea y del Banco de España, el importe defraudado en el Espacio Económico Europeo alcanzó los 4.200 millones de euros en 2024, un 17 % más que el año anterior, con más de 300 millones solo en España. Las transferencias y las tarjetas concentran la mayor parte, y el Banco de España apunta a que el importe medio de las transferencias fraudulentas aumentó un 42 % en el primer semestre de 2025.
Ante un fraude, el cliente suele encontrarse con la negativa de su entidad a devolver el dinero, con el argumento de que no custodió con diligencia sus credenciales. El Tribunal de Justicia de la Unión Europea (TJUE) ha precisado recientemente cómo debe actuar la entidad en esos casos.
Reembolso inmediato
Según la normativa de servicios de pago, una operación se considera autorizada cuando el ordenante ha dado su consentimiento para su ejecución. A falta de ese consentimiento, se considera no autorizada.
Cuando se trata de una operación no autorizada, la entidad debe devolver de inmediato el importe al ordenante, a más tardar al final del siguiente día hábil a aquel en que tenga conocimiento de la operación o reciba la notificación. Es la regla que sigue el Banco de España en su doctrina, con una única salvedad, la sospecha fundada de fraude, que la entidad debe comunicar al supervisor.
- Atención. El reembolso es el primer paso. La discusión sobre quién debe soportar finalmente la pérdida se resuelve después, no antes.
Un ejemplo reciente: la sentencia C-70/25 del TJUE
La sentencia del TJUE de 15 de octubre de 2026 resuelve el caso de una clienta de un banco polaco. Un estafador se hizo pasar por comprador de un artículo que ella había puesto a la venta en una plataforma de internet. Le envió un enlace a una web que simulaba la de su banco, y la víctima introdujo en ella sus claves de banca electrónica. El defraudador transfirió unos 700 euros a su propia cuenta. La clienta avisó al banco al día siguiente, y este se negó a devolver el dinero, alegando que había incumplido su obligación de conservar el instrumento de pago con la debida diligencia y de no ponerlo a disposición de personas no autorizadas.
El Tribunal consideró que esa negativa no basta. La entidad debe restituir el importe de las operaciones no autorizadas de forma inmediata, sin que pueda retrasar, congelar o denegar la devolución alegando que sospecha una negligencia grave del cliente. Solo después de haber devuelto el dinero, y si reúne pruebas de que el usuario actuó con fraude o con negligencia grave, la entidad puede reclamarle la cantidad.
La sentencia invierte así el orden que muchas entidades seguían, que consistía en denegar el reembolso y obligar al cliente a acudir a los tribunales para recuperar sus fondos.
- Atención. La sentencia interpreta la Directiva europea de servicios de pago. Su aplicación en España depende de cómo la asuman las entidades, los tribunales y el Banco de España, que ha anunciado que estudia su contenido para, en su caso, emitir indicaciones al sector.
Negligencia grave y carga de la prueba
La entidad no puede dar por sentada la negligencia del cliente. Le corresponde acreditarla, y el Tribunal Supremo ha recordado en España que la utilización de las credenciales o de mecanismos de autenticación reforzada no basta, por sí sola, para demostrarla.
Entre las conductas que las entidades suelen invocar como negligencia grave se encuentran anotar la clave junto a la tarjeta, facilitar por teléfono un código de un solo uso o instalar una aplicación de control remoto a petición de un desconocido. Según el criterio comentado, la existencia de esas conductas no permite a la entidad evitar el reembolso inicial, aunque sí puede fundar una reclamación posterior.
- Atención. Cuanto más sofisticado es el engaño, más difícil resulta para la entidad probar una negligencia grave. Conviene conservar toda la documentación sobre cómo se produjo el fraude.
Operaciones autorizadas bajo engaño
Persiste un debate sobre el alcance de este criterio. La sentencia analiza un supuesto de operación no autorizada, en el que el estafador ejecuta la transferencia con las claves obtenidas. Las entidades sostienen que el régimen de reembolso inmediato se limita a ese tipo de operaciones.
Las asociaciones de usuarios, en cambio, defienden que la distinción entre operación autorizada y no autorizada es un matiz débil cuando el cliente ha dado su consentimiento engañado por un tercero que se hace pasar por un empleado del banco, por una entidad pública o por un familiar, como sucede en los fraudes en que se pide dinero mediante Bizum haciéndose pasar por un hijo o un nieto.
- Atención. Si ha sido víctima de un engaño en el que usted mismo ordenó la operación, no dé por perdido el reembolso ni por seguro que procede. Conviene analizar el caso y reclamar sin demora.
Plazos y cómo reclamar
Los plazos principales que conviene tener presentes son los siguientes.
- Trece meses desde el cargo para comunicar a la entidad una operación no autorizada.
- Quince días hábiles para que la entidad conteste a la reclamación.
- Un año desde la respuesta de la entidad para acudir al Banco de España.
- Cinco años para ejercitar la acción judicial, momento en que prescribe.
En la práctica, el aviso debe hacerse lo antes posible y por un medio que deje constancia, porque el plazo de devolución se cuenta desde que la entidad conoce la operación.
- Atención. Los trece meses son un límite máximo. Retrasar el aviso facilita que la entidad cuestione la diligencia del cliente y dificulta bloquear los fondos y recuperar el dinero.
Reclamaciones anteriores
La sentencia refuerza las reclamaciones anteriores que sigan vivas, pero no reabre automáticamente los procedimientos ya firmes. Quienes vieron denegado un reembolso por una supuesta negligencia grave podrían volver a plantear su reclamación, siempre que se cumplan los requisitos legales y no hayan transcurrido los plazos aplicables.
- Atención. Si tuvo un fraude en los últimos años y la entidad rechazó su reclamación, conviene revisar la documentación y el estado del procedimiento antes de que venza el plazo de prescripción.
Prevención y papel de otros agentes
La prevención no recae solo en las entidades. Muchas estafas se construyen fuera del entorno bancario, mediante llamadas, mensajes, correos electrónicos o plataformas digitales que suplantan identidades. El futuro Reglamento europeo de servicios de pago contempla la colaboración entre empresas y la ampliación de las exigencias de prevención a operadores de telecomunicaciones y tecnológicas. En España, los operadores están obligados a bloquear determinadas llamadas y mensajes que usan numeraciones manipuladas, y existe un Registro de Alias gestionado por la CNMC para evitar que se use el nombre de un banco en mensajes de texto.
Actuaciones recomendadas
Si ha sido víctima de un fraude:
- Comunicar la operación a su entidad de inmediato y por un medio que deje constancia, y bloquear tarjetas y accesos.
- Solicitar por escrito el reembolso del importe no autorizado a más tardar al final del siguiente día hábil.
- Conservar capturas, mensajes, correos, enlaces, números de teléfono y justificantes de la operación.
- Presentar denuncia y guardar copia.
- Si la entidad deniega el reembolso o no contesta en quince días hábiles, acudir al Banco de España en el plazo de un año.
- Consultar con el despacho antes de aceptar una renuncia o un acuerdo que limite sus derechos.
Si es empresa o autónomo:
- Revisar el contrato con su entidad, por si incluye condiciones específicas para clientes no consumidores.
- Establecer controles internos para pagos y transferencias, como doble autorización y límites por operación.
- Formar al personal con acceso a la banca electrónica sobre los fraudes más comunes.
- Definir un protocolo de actuación inmediata ante una operación sospechosa.
Cuando se produce una operación de pago no autorizada, la entidad debe reembolsar el importe de forma inmediata, a más tardar al final del siguiente día hábil, sin poder retrasar la devolución alegando una sospecha de negligencia grave del cliente. Si considera que la hubo, le corresponde probarla y reclamar después. La sentencia del Tribunal de Justicia de la Unión Europea de 15 de octubre de 2026 consolida ese criterio, aunque deja abiertas cuestiones como las operaciones autorizadas bajo engaño. Conviene actuar con rapidez, conservar la documentación y analizar cada caso de forma individual.
