Listado revisado el 23 de septiembre de 2026. Próxima revisión prevista: diciembre de 2026.
La negligencia grave en el phishing es la única excusa legal que permite a un banco no devolverte una operación que no autorizaste, y la tiene que probar el banco, no tú. El Tribunal Supremo (STS 571/2025) ha dicho que ser víctima de un engaño sofisticado no es, por sí solo, negligencia grave.
Hay negligencia grave en el phishing cuando tu conducta fue inexcusable, no por el simple hecho de haber sido engañado. La prueba corresponde al banco, y el registro de tus claves o códigos no basta (art. 44 del RDL 19/2018 y STS 571/2025). Los tribunales la aprecian con mensajes burdos, advertencias ignoradas o falta de pruebas del engaño.
Si el banco te ha contestado que «usaste tus claves» o que «fue una negligencia tuya», esta página es para ti: qué significa ese término, qué sentencias recientes han dado la razón al cliente y cuáles al banco, y qué responder a cada argumento.
La ley no la define. El Real Decreto-ley 19/2018 de servicios de pago obliga al usuario a usar la tarjeta o la banca online conforme a sus condiciones, a tomar medidas razonables para proteger sus credenciales y a avisar sin demora indebida si las pierde o detecta un uso no autorizado (art. 41). Si incumples esas obligaciones deliberadamente o por negligencia grave, soportas todas las pérdidas (art. 46.1).
Los tribunales han ido llenando el concepto:
Y un límite que olvidan muchas respuestas bancarias: si el banco no exigió autenticación reforzada, solo puedes responder si actuaste de forma fraudulenta, no por negligencia (art. 46.2). Fuera de los casos de negligencia grave, la ley limita lo que puede cargarte a una franquicia máxima de 50 € por instrumentos extraviados o robados (art. 46.1).
El banco. El artículo 44 del RDL 19/2018 le obliga a demostrar que la operación se autenticó, se registró con exactitud y no la afectó ningún fallo técnico ni deficiencia del servicio. Y añade la regla decisiva: el mero registro del uso de tus credenciales no basta para probar que autorizaste la operación ni que actuaste con fraude o negligencia grave. Esa prueba es del banco.
En la práctica, esto significa que una respuesta del tipo «la operación se realizó con sus claves y el código enviado a su móvil» no es, por sí sola, prueba de negligencia. Tiene que explicar qué hiciste tú que fuera inexcusable.
Tu parte es otra: aportar el contexto del engaño. Una Audiencia dio la razón al banco porque el cliente no presentó el SMS fraudulento ni acreditó que la llamada viniera del número real del banco (SAP Cantabria, Sección 4.ª, 220/2026). Sin pruebas del engaño, el tribunal no puede valorar si era creíble.
Envíanos su respuesta y las capturas del SMS, la llamada o la web falsa. Comparamos tu caso con las sentencias de esta página y te decimos con honestidad qué posibilidades tiene.
Revisión gratuita · Sin pago inicial · Solo cobramos si hay resultado favorable
Es la sentencia de referencia y la que cita casi toda la jurisprudencia posterior.
Dato | Detalle |
|---|---|
Sentencia | STS 571/2025, de 9 de abril, Sala Primera (Civil) |
Recurso y ponente | Recurso 1151/2023; ponente Manuel Almenar Belenguer |
Identificador | ECLI:ES:TS:2025:1671 (ROJ STS 1671/2025) |
Entidad | Ibercaja |
Hechos | Duplicado de SIM y phishing: 15 transferencias los días 17 y 18 de marzo de 2021 por 83.692,73 €; el banco recuperó 27.218,10 € |
Contexto | El cliente, consumidor, había avisado al banco tres semanas antes de que recibía SMS sospechosos |
Fallo | Desestima el recurso de Ibercaja y confirma la condena a pagar 56.474,63 € más intereses y costas |
Qué dejó claro el Supremo:
1. La responsabilidad del banco es cuasi objetiva. Responde de las operaciones no autorizadas salvo que pruebe fraude o negligencia grave del cliente.
2. Los códigos SMS no prueban la autorización. Que se usaran códigos válidos enviados al móvil no equivale a que el cliente consintiera.
3. Que un tercero acceda a tus claves mediante un fraude sofisticado no es, sin más, negligencia grave.
4. La deficiencia del servicio es un concepto amplio. Incluye cualquier falta de diligencia del banco, como no vigilar operaciones anómalas o quedarse pasivo ante los avisos del cliente.
Para consumidores, no hemos localizado ninguna otra sentencia del Tribunal Supremo de 2025 o 2026 sobre phishing, smishing o vishing con número verificable. Las publicaciones jurídicas especializadas siguen citando la 571/2025 como la referencia. Si el banco o alguien te cita «otra sentencia del Supremo de phishing de 2026», pide el número y el ROJ.
Hay una sentencia de 2026 relevante para empresas: la STS 787/2026, de 25 de mayo (recurso 6306/2021). Privalia envió siete transferencias a China por 1.566.951,50 € tras un fraude del CEO con un falso abogado de una consultora. El banco había incumplido su propio protocolo de confirmación telefónica, y el Supremo repartió la pérdida al 50 % por culpas concurrentes, aplicando el Código Civil y el de Comercio y la diligencia del «ordenado empresario», no la ley de servicios de pago. No es doctrina para consumidores. Lo desarrollamos en transferencia fraudulenta.
Estas Audiencias Provinciales rechazaron la negligencia grave y condenaron a la entidad:
Tribunal y sentencia | Fecha | Qué pasó | Por qué ganó el cliente |
|---|---|---|---|
AP Soria, Secc. 1.ª, 27/2026 | 5 de febrero de 2026 | Transferencias tras el engaño de un tercero | El cliente actuó con diligencia en cuanto detectó las transferencias |
AP Jaén, Secc. 1.ª, 133/2026 | 29 de enero de 2026 | SMS y llamada que suplantaban al banco | Fraude verosímil y denuncia inmediata |
AP Cáceres, Secc. 1.ª, 30/2026 | 27 de enero de 2026 | Claves facilitadas bajo engaño | Detectarlo exigía una pericia técnica que supera la diligencia media |
AP Girona, Secc. 1.ª, 1298/2025 | 22 de diciembre de 2025 | Engaño sofisticado | La negligencia no se presume ante un engaño sofisticado; el banco responde por falta de diligencia |
AP Asturias, Secc. 6.ª, 461/2025 | 15 de octubre de 2025 | SMS falso integrado en el hilo real de mensajes del banco | Fallo de seguridad atribuible a la entidad |
AP Asturias, Secc. 6.ª, 158/2024 | 18 de marzo de 2024 | Operaciones tras un engaño al cliente | La negligencia grave se reserva para conductas casi inexcusables |
En primera instancia hay además un precedente útil para el vishing en el que la víctima hace ella misma la transferencia: el Juzgado de Primera Instancia n.º 8 de Murcia (nota del CGPJ de 26 de septiembre de 2025) condenó a BBVA a devolver 5.977 € más intereses a una clienta que, tras llamadas y mensajes que parecían del banco, transfirió a una supuesta cuenta a su nombre. El juez rechazó la negligencia porque el engaño era «tan completo en su apariencia de autenticidad» y reprochó al banco sus controles y su lentitud ante la petición de bloqueo. Es recurrible, y la nota no da el número de la sentencia.
Estas otras apreciaron negligencia grave. Conviene conocerlas tanto como las favorables, porque son el guion que usará el banco:
Tribunal y sentencia | Fecha | Qué pasó | Por qué perdió el cliente |
|---|---|---|---|
AP Cantabria, Secc. 4.ª, 220/2026 | 14 de abril de 2026 | El cliente alegó un SMS y una llamada del banco | No aportó el SMS ni acreditó que la llamada viniera del número real |
AP Barcelona, Secc. 14.ª, 140/2026 | 9 de marzo de 2026 | SMS burdo; el cliente activó enlaces fraudulentos | Ignoró las advertencias del banco |
AP Pontevedra, Secc. 1.ª, 437/2025 | 19 de septiembre de 2025 | El cliente facilitó los códigos OTP | El banco aplicó autenticación reforzada correctamente |
AP A Coruña, Secc. 3.ª, 377/2024 | 17 de julio de 2024 | Respuesta rápida al estafador | Conducta «precipitada, poco reflexiva y excesivamente confiada» |
AP Cantabria, Secc. 2.ª, 497/2023 | 10 de octubre de 2023 | El cliente autorizó una operación | No leyó el mensaje de autorización que recibió |
La de Barcelona interesa especialmente si vives en la provincia: la Sección 14.ª no aceptó la versión del cliente porque el SMS era poco creíble y hubo avisos del banco que no atendió. No significa que en Barcelona se pierda siempre; significa que ahí se miran con lupa la apariencia del mensaje y las advertencias.
Cruzando las sentencias anteriores, este es el patrón que se repite:
Conducta o circunstancia | Cómo pesa | Sentencias |
|---|---|---|
El SMS llegó en el mismo hilo que los mensajes reales del banco | A tu favor | AP Asturias 461/2025 |
Llamada y SMS coordinados, verosímiles | A tu favor | AP Jaén 133/2026 |
Engaño sofisticado, difícil de detectar para una persona media | A tu favor | STS 571/2025; AP Cáceres 30/2026; AP Girona 1298/2025 |
Avisaste al banco antes o reaccionaste rápido | A tu favor | STS 571/2025; AP Soria 27/2026; AP Jaén 133/2026 |
Operaciones anómalas que el banco no frenó | A tu favor | STS 571/2025 |
SMS burdo, con errores evidentes | En contra | AP Barcelona 140/2026 |
Ignoraste advertencias concretas del banco | En contra | AP Barcelona 140/2026 |
Dictaste o introdujiste códigos OTP con autenticación bien aplicada | En contra | AP Pontevedra 437/2025 |
No leíste el mensaje que describía la operación que autorizabas | En contra | AP Cantabria 497/2023 |
No conservaste el SMS ni pruebas de la llamada | En contra | AP Cantabria 220/2026 |
Fíjate en que dar los códigos no decide el caso por sí solo: pesa en contra en Pontevedra, pero en Jaén o en Cáceres la clave fue lo creíble del engaño. Lo que suele inclinar la balanza es la calidad del engaño y lo que puedas probar de él. Hoy se añade un argumento nuevo: desde el 15 de septiembre de 2026 la CNMC obliga a bloquear los SMS con alias no registrado (Circular 1/2026), lo que refuerza el argumento de que un SMS falso que aparece con el nombre de tu banco no era fácil de detectar para un cliente medio.
«La operación se hizo con sus claves y el código enviado a su móvil.» Respuesta: el artículo 44.2 del RDL 19/2018 dice que el registro del uso de tus credenciales no basta para probar la autorización ni la negligencia grave; el 44.3 pone en el banco la carga de probar esa negligencia, y la STS 571/2025 lo aplica a los códigos SMS. Pide el registro completo: dispositivo, IP, ubicación y hora de cada paso.
«Teníamos autenticación reforzada.» Respuesta: la autenticación reforzada demuestra que se usaron tus factores de seguridad, no que tú quisieras hacer la operación. Si además hubo un nuevo dispositivo, un cambio de teléfono o operaciones fuera de tu patrón habitual, pregunta qué controles saltaron. La falta de vigilancia es deficiencia del servicio (STS 571/2025).
«Le advertimos de que nunca pedimos claves.» Respuesta: un aviso genérico en la web o en la app no prueba por sí solo la negligencia grave, que no se presume ante un engaño sofisticado (AP Girona 1298/2025). Distinto es ignorar una advertencia concreta en el momento de la operación, que es lo que pesó en la AP Barcelona 140/2026. Pide que te digan qué advertencia exacta se te mostró y cuándo.
«Usted tardó en avisar.» Respuesta: tienes hasta 13 meses desde el cargo, siempre que avises sin demora injustificada desde que lo sabes (art. 43). El TJUE (C-665/23) dice que el retraso injustificado puede costarte la devolución, pero solo de las operaciones notificadas tarde, no de todas. Acredita cuándo te enteraste.
«Primero tenemos que investigar.» Respuesta: el artículo 45 obliga a devolver de inmediato y, como tarde, al final del día hábil siguiente al aviso. La única salvedad es que el banco sospeche fraude del propio cliente y lo comunique por escrito al Banco de España. Pregunta si lo ha hecho.
«Tiene que presentar denuncia para que tramitemos la devolución.» Respuesta: la ley no condiciona la devolución a la denuncia; solo exige notificar al banco. Aun así, ponla y adjúntala: es una prueba útil.
«El Banco de España nos dio la razón en un caso como el suyo.» Respuesta: los informes del Banco de España no son vinculantes y no crean jurisprudencia. En su Memoria de 2025, cuando la entidad acredita una autenticación correcta suele darle la razón; el 34 % de los informes favorables a la entidad trataban fraudes con tarjeta. Por eso tu reclamación debe discutir la negligencia, no solo la autenticación. Lo explicamos en la reclamación ante el Banco de España.
Preparamos una reclamación que pide los registros de autenticación y contesta, una por una, a las razones de la negativa, con la jurisprudencia que encaja con tu caso.
Sin pago inicial · 20 % de lo que recuperes + 60 € (+ IVA)
Asunto C-665/23 (Veracash), sentencia de 1 de agosto de 2025. El usuario puede perder el derecho a la devolución si no notifica sin tardanza injustificada, aunque no hayan pasado los 13 meses. Pero si el instrumento se perdió o fue robado, solo lo pierde si el retraso se debe a dolo o negligencia grave, y en operaciones sucesivas la pérdida afecta solo a las notificadas tarde. Mensaje práctico: avisa el mismo día y deja constancia escrita.
Asunto C-70/25, conclusiones del Abogado General de 5 de marzo de 2026. Una clienta polaca cayó en un phishing: un falso comprador le envió un enlace a una copia de la web de su banco. El banco se negó a devolver alegando negligencia grave. El Abogado General propone que el banco devuelva primero, de inmediato, aunque alegue negligencia grave, salvo sospecha fundada de fraude comunicada por escrito a la autoridad; después puede reclamar al cliente si prueba la negligencia grave. Las conclusiones no obligan al Tribunal, y a finales de agosto de 2026 la sentencia seguía pendiente. Si el TJUE las confirma, la respuesta «no le devolvemos porque fue negligente» dejaría de valer como excusa para no reembolsar. Actualizaremos esta página cuando se publique.
Ninguna lista sustituye a revisar tu caso, pero estas preguntas se acercan mucho a lo que mira un juez. Cuantas más respuestas «sí» en la primera columna, mejor:
A tu favor | En contra |
|---|---|
¿Conservas el SMS, el correo o capturas de la web falsa? | ¿Has borrado los mensajes o no los encuentras? |
¿El mensaje apareció con el nombre del banco o en su mismo hilo? | ¿Venía de un número desconocido y con faltas? |
¿La llamada mostraba el número real del banco? | ¿No puedes acreditar desde qué número te llamaron? |
¿Avisaste al banco el mismo día? | ¿Pasaron semanas sin que lo comunicaras? |
¿Las operaciones eran muy distintas de tus movimientos habituales? | ¿El banco te mostró una advertencia concreta y seguiste? |
¿Denunciaste y guardaste la denuncia? | ¿Reconociste por escrito que «lo autorizaste tú»? |
Un consejo sobre el último punto: cuando hables con el banco, cuenta los hechos sin calificarlos. «Recibí un SMS que aparecía en el hilo del banco e introduje mis datos en una página idéntica» es un hecho. «Fue culpa mía, piqué» es una valoración que el banco usará.
1. Reclama por escrito al servicio de atención al cliente si aún no lo has hecho. Tiene 15 días hábiles para responder (un mes en casos excepcionales, art. 69). Tienes modelos en la carta de reclamación al banco por fraude.
2. Pide los registros de autenticación y la descripción de las advertencias que dice haberte mostrado.
3. Valora el Banco de España sabiendo lo que puede hacer: un informe no vinculante.
4. Si hay que ir a juicio, la reclamación previa ante el banco cumple el requisito de haber intentado antes una solución extrajudicial (Ley Orgánica 1/2025, en vigor desde el 3 de abril de 2025). El plazo para demandar es de 5 años (art. 1964.2 del Código Civil).
El panorama completo del proceso, con la tabla de «¿me devuelve el banco?» por tipo de fraude, está en la guía para reclamar un fraude bancario. Si todavía estás en las primeras horas, empieza por qué hacer si te han robado dinero de la cuenta.
Nosotros hacemos la reclamación extrajudicial frente al banco. La revisión es gratuita y sin pago inicial; solo cobramos si hay resultado favorable: en la modalidad estándar, 20 % de lo que recuperes + 60 € (+ IVA). Si recuperas 2.000 €, son 460 € + IVA. Los casos de importe bajo tienen una escala específica. La vía judicial, si hiciera falta, es un encargo aparte que solo se hace con tu aceptación expresa. Más sobre nuestros abogados de reclamaciones bancarias y otras reclamaciones al banco.
Con la respuesta del banco y tus pruebas te decimos en qué columna estás y si merece la pena reclamar. Si el importe es pequeño y el caso es claro, te diremos que lo hagas tú con el modelo.
Revisión gratuita · Sin pago inicial · Solo cobramos si hay resultado favorable
La STS 571/2025, de 9 de abril, de la Sala Primera (ECLI:ES:TS:2025:1671). Confirmó la condena a Ibercaja a devolver 56.474,63 € tras un fraude con duplicado de SIM y phishing. Fija que la responsabilidad del banco es cuasi objetiva, que los códigos SMS no prueban la autorización y que un engaño sofisticado no es, sin más, negligencia grave del cliente.
Para consumidores, no hemos localizado ninguna con número verificable a septiembre de 2026. La STS 787/2026, de 25 de mayo, trata un fraude del CEO sufrido por una empresa y reparte la pérdida al 50 %, pero aplica el Código Civil y el de Comercio, no la ley de servicios de pago. Si te citan otra, pide el número y el ROJ.
Depende del engaño. La AP Pontevedra 437/2025 la apreció en un cliente que facilitó los códigos OTP con autenticación bien aplicada. Pero el Supremo dice que usar códigos válidos no prueba el consentimiento, y Audiencias como Jaén o Cáceres han protegido a clientes que dieron datos ante llamadas y mensajes verosímiles. Pesa mucho cómo te engañaron y qué puedes probar.
El Supremo la califica de cuasi objetiva: el banco responde de las operaciones no autorizadas aunque no haya tenido culpa, salvo que pruebe fraude o negligencia grave del cliente. No es absoluta, porque existe esa excepción, pero la carga de la prueba está siempre en el banco, no en ti.
Reclama por escrito al servicio de atención al cliente citando los artículos 44 y 45 del RDL 19/2018 y la STS 571/2025, y pide los registros de autenticación. Si no responde en 15 días hábiles o se niega, puedes acudir al Banco de España (informe no vinculante) o preparar la vía judicial, con 5 años de plazo.
Hay sentencias contra muchas entidades y el criterio jurídico es el mismo para todas: el que fija la STS 571/2025. Lo que cambia el resultado no es el banco, sino los hechos: cómo fue el engaño, si hubo advertencias concretas y qué pruebas conservas. Buscar una sentencia de tu banco ayuda menos que encontrar una con hechos parecidos a los tuyos.
Lo revisamos cada trimestre y cuando hay una novedad relevante, como la futura sentencia del TJUE en el asunto C-70/25. Solo incluimos sentencias con número, fecha y fuente comprobados. La fecha de la última revisión figura al principio de la página.
Reclamar fraude bancario en 2026: el banco debe devolver lo no autorizado al día hábil siguiente y probar tu negligencia. Tabla por caso y plazos.
Llamada falsa del banco con su número en pantalla: qué hacer hoy, si dictar el código te quita el derecho a recuperar el dinero y qué dicen las sentencias.
Reclamación al Banco de España por phishing y carta al banco: dos modelos para copiar, con petición de registros de autenticación, y todos los plazos.
