El TJUE cambia el orden de las ciberestafas bancarias: primero se devuelve el dinero y después se discute la negligencia. La sentencia, dictada en el asunto C-70/25, obliga a las entidades a abonar al cliente el importe de una operación no autorizada sin esperar a valorar si actuó con descuido.
Si te han vaciado la cuenta con un enlace de phishing, esto te interesa. Hasta ahora, el banco podía frenar la devolución alegando descuido del cliente; con el nuevo criterio, la entidad debe reembolsar el importe al final del día hábil siguiente a haber recibido el aviso, según el fallo.
Qué dice la sentencia del TJUE (en cristiano)
El caso que llega a Luxemburgo es de lo más cotidiano. Una mujer polaca intentaba vender un objeto por Internet cuando un supuesto comprador le envió un enlace fraudulento. Ese enlace permitió a los estafadores ejecutar operaciones de pago con su cuenta. La Justicia europea separa ahora dos momentos que antes se mezclaban.
Primero, la devolución: el reembolso inmediato del importe. Después, la discusión sobre la culpa. Si la entidad considera que hubo negligencia grave del usuario, tendrá que acreditarla y, en su caso, reclamarle el dinero. Lo resume Ignacio Ripol, socio de Procesal y Compliance de Grant Thornton: una cosa es «la obligación inmediata de reembolsar una operación no autorizada» y otra distinta «determinar quién debe soportar definitivamente la pérdida».
El cambio afecta a las operaciones no autorizadas, es decir, aquellas en las que el usuario no intervino ni dio su consentimiento porque un tercero suplantó su identidad o robó sus credenciales. Las operaciones que el cliente autorizó quedan fuera.
¿A quién afecta y cómo puedes reclamar?
Afecta a cualquier usuario de banca online que haya sufrido phishing, suplantación de identidad o robo de credenciales. Y el volumen no es menor: los fraudes en medios de pago alcanzaron 4.200 millones de euros en 2024 en Europa, según datos del BCE, el Banco de España y la patronal EBA. De esa cifra, 300 millones correspondieron a España.
Marisa Protomartir, directora legal de Asufin, describe el giro para el consumidor: se pasa de demandar al banco a ser demandado por el banco, «siempre que la entidad pueda probar la negligencia y esté dispuesta a judicializar el asunto». La mayoría de los tribunales daban la razón al cliente: entre el 80% y el 90%, según los datos de la asociación. Ahora el banco debe pensar si le compensa pleitear por cantidades pequeñas.
Desde ahora el banco devuelve primero y discute después: si quiere recuperar el dinero, deberá probar la negligencia del cliente ante un juez.
Qué puedes hacer si te ha pasado. Lo primero es avisar al banco sin demora y guardar las pruebas: correos, mensajes, capturas y el extracto con el cargo. El plazo general para avisar al banco es de 13 meses desde la fecha del adeudo, según la normativa. Conviene revisarlo.
Si la entidad rechaza la devolución, reclama por escrito y guarda el número de expediente. Después puedes acudir al servicio de atención al cliente del banco, al Banco de España o a una asociación de consumidores como Asufin, Facua u OCU. Ojo: cada caso necesita asesoramiento profesional; aquí hablamos de criterios generales.
El impacto en el bolsillo y qué pasa con las reclamaciones abiertas
Las estimaciones del sector financiero sitúan el impacto potencial para la banca española cerca de los 1.000 millones de euros. La cifra final dependerá del volumen de reclamaciones y de cómo se resuelvan. No es una sanción: es dinero que las entidades tendrán que adelantar.
Hay un detalle que muchos pasan por alto. La sentencia no crea una norma nueva, sino que interpreta la normativa europea de servicios de pago ya vigente. Por eso puede invocarse en reclamaciones pendientes de resolución firme. No reabre, en cambio, los procedimientos que ya terminaron con sentencia firme. Ripol aconseja revisar operaciones fraudulentas que nunca se reclamaron o que el banco rechazó por atribuir negligencia al cliente.
Asufin ultima el envío de requerimientos a todas las entidades con procesos abiertos, por vía judicial y extrajudicial. Su presidenta, Patricia Suárez, quiere dejar claro que «vamos en serio y queremos nuestro dinero» y que los consumidores «dejen de pagar este pato». En el sector restan dimensión al fallo, y recuerdan que la normativa ya contemplaba estos reembolsos. Eso sí, la carga inicial del riesgo se traslada ahora con más claridad al banco.
Queda un matiz práctico. En los fraudes del falso proveedor o del falso CEO, la víctima ordena materialmente la transferencia aunque esté engañada. Para Ripol, lo relevante no es quién pulsa el botón, sino si el cliente consintió de verdad la operación. Este tipo de fraude se ha convertido ya en una de las reclamaciones más habituales ante el Banco de España.
La sentencia completa puede consultarse en la web del TJUE, dentro del asunto C-70/25.
🛒 La ficha de consumo
- ⚠️ Problema: Un tercero ejecuta operaciones no autorizadas con tus credenciales tras una estafa de phishing o suplantación.
- 💸 Posibles consecuencias: El banco puede retrasar la devolución mientras discute si hubo negligencia del cliente.
- ✅ Consejos para solucionarlo: Avisa al banco cuanto antes, guarda las pruebas y reclama por escrito dentro del plazo.
- 🏁 Resultado final: Con la sentencia del TJUE, la devolución es lo primero y la discusión sobre la culpa llega después.
