Confirmado por la justicia europea: tu banco debe devolver el dinero del phishing en un día hábil

El Tribunal de Justicia de la Unión Europea (TJUE) dictó el 15 de octubre de 2026 una sentencia que aclara que los bancos no pueden rechazar la devolución inicial alegando negligencia grave del cliente. La principal excepción se produce cuando existen sospechas fundadas de fraude cometido por el propio usuario, comunicadas por escrito a la autoridad competente. (Sentencia del TJUE).

La resolución aborda una situación que puede afectar a cualquier cliente bancario: descubrir que alguien ha retirado dinero de su cuenta sin permiso y que el banco se niega a devolverlo porque considera que no protegió adecuadamente sus claves.

Qué dice la sentencia europea sobre las estafas bancarias

La sentencia del TJUE del 15 de octubre de 2026, asunto C-70/25, conocido como Tukowiecka, tiene su origen en el caso de una mujer de Polonia que sufrió una estafa mientras intentaba vender un artículo por internet. Un supuesto comprador le envió un enlace que parecía pertenecer a la plataforma de compraventa. Al abrirlo, llegó a una página que imitaba la web de su banco e introdujo sus claves de acceso. El delincuente utilizó esos datos para transferir a otra cuenta una cantidad equivalente a unos 700 euros.

La mujer avisó al banco al día siguiente, pero la entidad rechazó devolverle el dinero. Consideraba que había cometido una negligencia grave al facilitar sus claves en una página fraudulenta. El caso llegó a un tribunal polaco, que pidió al TJUE que aclarase cómo debía aplicarse la legislación europea.

La respuesta del tribunal fue favorable a la obligación de reembolso inmediato. El banco no puede negarse a devolver inicialmente el importe de una operación no autorizada por considerar que el cliente actuó con negligencia grave. El comunicado oficial 147/2026 del TJUE explica que la devolución inicial y la responsabilidad definitiva por las pérdidas son cuestiones diferentes. Por eso, el banco debe cumplir primero su obligación de reembolso y, si demuestra posteriormente la negligencia grave del cliente, podrá reclamarle el dinero.

Cuánto tiempo tiene el banco para devolverte el dinero

El plazo está regulado en el artículo 73.1 de la Directiva (UE) 2015/2366, conocida como PSD2. Esta norma europea establece las reglas aplicables a los servicios de pago y la protección de los usuarios frente a operaciones no autorizadas. El banco debe devolver el importe inmediatamente y, como máximo, al finalizar el siguiente día hábil desde que detecta la operación o recibe la notificación del afectado.

Esto significa que el plazo no equivale siempre a 24 horas exactas. Si el aviso se produce antes de un fin de semana o un festivo bancario, el límite legal puede extenderse más allá de ese periodo. En España, esta obligación también aparece en el artículo 45 del Real Decreto-ley 19/2018, de servicios de pago y otras medidas urgentes en materia financiera, publicado en el BOE.

La norma establece que el proveedor debe restituir el importe y, cuando corresponda, devolver la cuenta al estado en el que se encontraría si la operación no se hubiera producido. Existe una excepción: si el banco tiene motivos razonables para sospechar que el propio cliente ha cometido un fraude, puede quedar exento de esa devolución inmediata, siempre que comunique sus sospechas por escrito a la autoridad nacional competente. No basta con alegar que el usuario fue descuidado.

En qué casos está obligado el banco a devolverte el dinero

La sentencia se refiere a las operaciones de pago no autorizadas, es decir, aquellas que se realizan sin el consentimiento válido del titular. Esta distinción importa porque no todas las estafas bancarias funcionan de la misma manera. Entre las situaciones que pueden dar lugar a una reclamación por una operación no autorizada se encuentran:

Estos ejemplos no implican que cualquier reclamación deba aceptarse automáticamente. Hay que determinar si la operación fue realmente no autorizada y si se cumplen las condiciones legales. Por ejemplo, no es lo mismo que un delincuente utilice las claves robadas para ordenar una transferencia que una persona ordene personalmente un pago porque ha sido engañada. En este segundo supuesto, la aplicación del régimen de reembolso de operaciones no autorizadas requiere un análisis diferente.

Además, el artículo 43 del Real Decreto-ley 19/2018 establece, con carácter general, que el usuario debe comunicar la operación sin demora injustificada y dentro de un plazo máximo de 13 meses desde el adeudo, siempre que se cumplan las condiciones previstas en la norma.

Qué pasa si el banco te acusa de haber sido negligente

Este es uno de los aspectos más importantes de la sentencia europea. Una de las razones que pueden alegar las entidades para rechazar la devolución es que el cliente facilitó sus contraseñas o códigos de seguridad a los delincuentes. El TJUE aclara que la sospecha de negligencia grave no permite al banco saltarse su obligación inicial de reembolso. La entidad deberá devolver el dinero y, si considera que el afectado incumplió gravemente sus obligaciones de seguridad, podrá intentar recuperarlo después.

La negligencia grave supone una falta de cuidado especialmente seria. No debe confundirse con cualquier error o descuido cometido por una persona que ha sido engañada. El artículo 72 de la Directiva (UE) 2015/2366 establece que el mero registro del uso de un instrumento de pago no basta necesariamente para demostrar que la operación fue autorizada o que el cliente actuó con negligencia grave.

En España, el artículo 44 del Real Decreto-ley 19/2018 recoge esta regla: corresponde al banco aportar las pruebas que permitan acreditar el fraude o la negligencia grave del usuario. Por tanto, que una transferencia se haya realizado utilizando las claves correctas no demuestra por sí solo que el titular consintiera el pago.

Por su parte, el artículo 46.1 del mismo real decreto-ley regula la responsabilidad del cliente por las pérdidas. Si se demuestra que actuó fraudulentamente o incumplió deliberadamente o por negligencia grave sus obligaciones de seguridad, puede tener que asumirlas. La sentencia no elimina esa responsabilidad, pero impide utilizar una acusación de negligencia grave como motivo para rechazar directamente la devolución inicial.

Cómo reclamar al banco si has sufrido una estafa por phishing

Si descubres una transferencia o un cargo que no reconoces, conviene actuar cuanto antes. El Banco de España, organismo encargado de supervisar las entidades bancarias españolas, recomienda comunicar inmediatamente estas operaciones a la entidad y reclamar cuando no se haya autorizado el pago.

Los pasos que puedes seguir son:

1. Contacta inmediatamente con tu banco. Comunica la operación fraudulenta y solicita el bloqueo de las tarjetas o credenciales comprometidas para impedir nuevos cargos.

2. Solicita la devolución del dinero. Identifica las operaciones que no has autorizado y pide que se aplique el artículo 45 del Real Decreto-ley 19/2018.

3. Denuncia la estafa. Acude a la Policía Nacional, la Guardia Civil o el juzgado. Conserva una copia de la denuncia para aportarla a la entidad bancaria si es necesario.

4. Guarda todas las pruebas. Conserva los mensajes recibidos, las capturas de pantalla, los movimientos bancarios y las comunicaciones con la entidad.

5. Presenta una reclamación por escrito. Si el banco rechaza la devolución, dirígete a su Servicio de Atención al Cliente y conserva el justificante de presentación.

6. Acude al Banco de España si no obtienes una respuesta satisfactoria. También puedes valorar la vía judicial si existe una controversia sobre la autorización del pago o la responsabilidad por las pérdidas.

Según el Banco de España, las entidades tienen 15 días hábiles para responder a reclamaciones sobre servicios de pago. En casos excepcionales, pueden ampliar el plazo hasta un mes, siempre que envíen una respuesta provisional. Si rechazan la reclamación o no contestan a tiempo, el afectado puede acudir al Banco de España. 

En resumen, el plazo para responder a una reclamación no modifica la obligación de devolver de inmediato el dinero de una operación no autorizada.

El Banco de España no puede obligar al banco a pagar, ya que sus informes no son vinculantes. La sentencia del TJUE aclara que el banco no puede rechazar la devolución inicial alegando negligencia grave del cliente. Si considera que este es responsable de las pérdidas, tendrá que demostrarlo.

Si te ha gustado el artículo compártelo en tus redes sociales y déjanos un comentario con tu opinión.