Sufrir una ciberestafa bancaria es cada vez más frecuente. Según los últimos datos del Banco Central Europeo, la Autoridad Bancaria Europea y el Banco de España, el importe defraudado en el Espacio Económico Europeo alcanzó los 4.200 millones de euros en 2024, un 17 % más que el año anterior, con más de 300 millones solo en España. Ante un fraude, lo habitual es que el cliente se encuentre con la negativa del banco a devolver el dinero, con el argumento de que no custodió con diligencia sus claves. Una reciente sentencia del Tribunal de Justicia de la Unión Europea (TJUE) cambia las reglas de ese juego.

Operación no autorizada: la devolución es inmediata

Según la normativa de servicios de pago, una operación está autorizada cuando el ordenante ha dado su consentimiento. Si no lo ha dado, es una operación no autorizada, y en ese caso la entidad debe devolver el importe de inmediato, a más tardar al final del siguiente día hábil a aquel en que tenga conocimiento de la operación o reciba la notificación. Es la regla que sigue el Banco de España, con una única salvedad: la sospecha fundada de fraude, que el banco debe comunicar al supervisor. Puedes consultar el marco legal en el Real Decreto-ley 19/2018 de servicios de pago.

La sentencia C-70/25 del TJUE, paso a paso

El TJUE resolvió el 15 de octubre de 2026 el caso de una clienta de un banco polaco. Un estafador se hizo pasar por comprador de un artículo que ella vendía en internet y le envió un enlace a una web que imitaba la de su banco. Ella introdujo allí sus claves y el defraudador transfirió unos 700 euros a su propia cuenta. La clienta avisó al banco al día siguiente, pero este se negó a devolver el dinero alegando que no había conservado con la debida diligencia su instrumento de pago.

El Tribunal considera que esa negativa no basta. La entidad debe restituir el importe de forma inmediata y no puede retrasar, congelar ni denegar la devolución por sospechar una negligencia grave del cliente. Solo después, y si reúne pruebas de que el usuario actuó con fraude o con negligencia grave, puede reclamarle la cantidad. Es decir, se invierte el orden que muchas entidades seguían: negar el reembolso y obligar al cliente a acudir a los tribunales para recuperar su dinero.

Eso sí, la sentencia interpreta una directiva europea y su aplicación en España dependerá de cómo la asuman bancos, tribunales y Banco de España, que ya estudia su contenido.

Negligencia grave: le toca probarla al banco

La entidad no puede dar por sentada la negligencia del cliente: le corresponde acreditarla. De hecho, el Tribunal Supremo ha recordado que el uso de las credenciales o de la autenticación reforzada no basta, por sí solo, para demostrarla.

Entre las conductas que los bancos suelen invocar están anotar la clave junto a la tarjeta, facilitar por teléfono un código de un solo uso o instalar una aplicación de control remoto a petición de un desconocido. Según el criterio comentado, ninguna de ellas permite al banco evitar el reembolso inicial, aunque sí pueden servirle de base para una reclamación posterior. Y cuanto más elaborado es el engaño, más difícil le resulta probarla.

¿Y si fui yo quien ordenó la operación engañado?

Aquí sigue abierto el debate. La sentencia analiza un caso de operación no autorizada, y los bancos sostienen que el reembolso inmediato se limita a ese tipo de operaciones. Las asociaciones de consumidores responden que la frontera entre autorizada y no autorizada es débil cuando el cliente consiente engañado por alguien que se hace pasar por un empleado del banco, un organismo público o un familiar, como en las estafas de Bizum en las que un supuesto hijo o nieto pide dinero.

Si te ha pasado algo así, no des el reembolso por perdido ni por seguro: lo sensato es analizar el caso y reclamar sin demora.

Plazos para reclamar una ciberestafa bancaria

Los plazos que conviene tener presentes son estos:

• 13 meses desde el cargo para comunicar a la entidad una operación no autorizada.
• 15 días hábiles para que el banco conteste a la reclamación.
• 1 año desde la respuesta del banco para acudir al Banco de España.
• 5 años para ejercitar la acción judicial, momento en que prescribe.

Los trece meses son un máximo, no un objetivo. El aviso debe hacerse cuanto antes y por un medio que deje constancia, porque el plazo de devolución se cuenta desde que la entidad conoce la operación, y retrasarlo facilita que cuestione tu diligencia y dificulta bloquear los fondos.

Qué hacer si has sido víctima de una ciberestafa

Lo primero es avisar al banco de inmediato, bloquear tarjetas y accesos, y pedir por escrito la devolución del importe antes de que acabe el siguiente día hábil. A la vez, conserva capturas, mensajes, correos, enlaces, teléfonos y justificantes, y presenta denuncia guardando una copia. Si el banco deniega el reembolso o no responde en quince días hábiles, puedes acudir al Banco de España en el plazo de un año. Antes de aceptar cualquier renuncia o acuerdo que limite tus derechos, consulta con un abogado especialista en derecho bancario.

Las empresas y los autónomos deberían, además, revisar las condiciones de su contrato bancario, establecer controles internos como la doble autorización y formar al personal con acceso a la banca electrónica.

La sentencia refuerza las reclamaciones anteriores que sigan vivas, aunque no reabre automáticamente los procedimientos ya firmes. Si tu banco te denegó un reembolso por una supuesta negligencia grave, podrías volver a plantearlo siempre que se cumplan los requisitos legales y no hayan vencido los plazos.

En los fraudes, cada día cuenta. Si crees que has sufrido una estafa, o te rechazaron una reclamación hace tiempo, en Agustí & Asociados podemos revisar tu caso y decirte qué opciones tienes. Contacta con nuestro despacho y empezamos cuanto antes.