Ciberestafas bancarias: el TJUE puede cambiar las reglas sobre quién paga el fraude online
La banca europea está pendiente de una sentencia del Tribunal de Justicia de la Unión Europea (TJUE) que puede redefinir el reparto de responsabilidad entre entidades y clientes ante las ciberestafas bancarias. Analizamos el alcance del fallo esperado, la PSD2, la doctrina del Tribunal Supremo español (STS 571/2025) y qué debe hacer la víctima de un fraude online en España para reclamar el reintegro.
La cuestión que tiene en vilo a la banca europea
El sector bancario europeo está pendiente de una sentencia del Tribunal de Justicia de la Unión Europea (TJUE) que puede modificar de forma sustancial las "reglas del juego" en materia de ciberestafas, phishing, smishing y fraude online. El núcleo del debate es claro: cuando un cliente es engañado por un tercero y autoriza —técnicamente— una operación bancaria, ¿debe asumir la pérdida el cliente o el banco?
La respuesta no es menor. Según los datos del propio sector, los fraudes mediante ingeniería social en banca digital se han multiplicado en los últimos años, y muchas entidades han venido alegando que, si la operación fue confirmada por el cliente con sus claves, no procede el reintegro. La sentencia del TJUE que se espera puede limitar drásticamente ese argumento.
> Aviso práctico: si ha sido víctima de una ciberestafa bancaria en España, no acepte sin más la negativa de la entidad. El marco europeo presume su derecho al reintegro salvo que el banco pruebe negligencia grave o fraude por su parte.
El marco normativo aplicable: PSD2 y RDL 19/2018
La Directiva (UE) 2015/2366 (PSD2), transpuesta en España por el Real Decreto-ley 19/2018, establece un principio capital en materia de operaciones de pago no autorizadas:
- El proveedor de servicios de pago (banco) está obligado a devolver de inmediato el importe de la operación no autorizada, a más tardar al final del siguiente día hábil.
- La carga de la prueba recae en el banco: debe demostrar que la operación fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por fallo técnico.
- Solo se exonera de responsabilidad si acredita fraude o negligencia grave del usuario.
El TJUE viene reforzando esta interpretación favorable al consumidor en distintos pronunciamientos sobre la PSD2 y la Directiva 93/13/CEE sobre cláusulas abusivas.
Qué se discute en el fallo europeo pendiente
El asunto sometido al TJUE plantea, en esencia, si puede considerarse "autorizada" —y, por tanto, no reembolsable— una operación en la que el cliente:
- Ha introducido sus claves o validado un SMS/OTP, pero
- Lo ha hecho inducido por un fraude sofisticado (suplantación de la web del banco, llamadas con número falsificado, mensajes urgentes que simulan alertas de seguridad).
La banca defiende que, si la operación fue firmada digitalmente por el cliente, no es una operación no autorizada en sentido técnico. Las asociaciones de consumidores y diversos tribunales nacionales sostienen lo contrario: el consentimiento viciado por engaño no equivale a autorización válida, y el banco debe responder salvo que pruebe negligencia grave.