Phishing Bancario en España: Responsabilidad Civil de las Entidades Bancarias y Jurisprudencia Aplicable
Las víctimas de phishing bancario en España cuentan con sólidas protecciones legales. La PSD2 y el RDL 19/2018 obligan a las entidades a reembolsar de inmediato las operaciones no autorizadas, salvo que demuestren fraude o negligencia grave del cliente. El Tribunal Supremo (STS 571/2025) confirma esta responsabilidad cuasiobjetiva.
El phishing bancario — la práctica fraudulenta de suplantar la identidad de una entidad financiera de confianza para robar las credenciales bancarias del cliente — se ha convertido en una de las formas de ciberdelincuencia más frecuentes en España. Sus variantes incluyen el phishing por correo electrónico, el *smishing* por SMS, el *vishing* telefónico y la duplicación de tarjetas SIM (*SIM swapping*).
Para las víctimas, la pregunta clave es: ¿quién soporta la pérdida económica, el cliente o el banco?
La legislación española y la jurisprudencia reciente del Tribunal Supremo dan una respuesta clara: el banco debe reembolsar al cliente, salvo que demuestre fraude o negligencia grave por su parte.
Marco Legal: PSD2 y RDL 19/2018
La Directiva europea de servicios de pago (PSD2 — Directiva 2015/2366/UE) y su transposición española, el Real Decreto-ley 19/2018 (RDL 19/2018), establecen un régimen de responsabilidad cuasiobjetiva para los proveedores de servicios de pago (entidades bancarias).
Las disposiciones clave son:
- Artículo 45 RDL 19/2018: El proveedor de servicios de pago debe reembolsar el importe íntegro de toda operación no autorizada de inmediato, salvo sospecha fundada de fraude.
- Artículo 46 RDL 19/2018: La responsabilidad del titular se limita a un máximo de 50 € cuando la operación no autorizada se derive del uso de un instrumento de pago extraviado o sustraído, sin fraude ni negligencia grave del usuario.
- Artículo 41 RDL 19/2018: Las entidades deben implementar Autenticación Reforzada del Cliente (SCA) — típicamente doble factor — para las operaciones electrónicas.
La carga de la prueba recae en el banco: debe demostrar que la operación fue correctamente autenticada, registrada adecuadamente y no afectada por fallo técnico alguno. El mero hecho de que los registros del banco muestren que la operación fue procesada no prueba que el cliente la autorizase.
La Dimensión Penal
Desde la perspectiva penal, el phishing constituye estafa informática conforme al artículo 249 del Código Penal. El autor obtiene una transferencia patrimonial ilícita mediante manipulación fraudulenta de sistemas informáticos.
Pero precisamente la calificación del phishing como delito cometido por un tercero fundamenta la responsabilidad civil del banco: el cliente fue engañado por un delincuente, no por el banco. La responsabilidad de la entidad nace de su deber contractual de custodiar los fondos del cliente y garantizar la seguridad de sus sistemas de pago.