Gavín & Linares consigue una sentencia por phishing bancario que obliga al banco a devolver 16.025,40 euros por transferencias no autorizadas, más intereses y costas. El tribunal rechaza que se haya acreditado negligencia grave del cliente. La resolución no es firme y puede recurrirse en apelación.
Ni siquiera la experiencia profesional en el sector financiero garantiza detectar un engaño digital. Un alto directivo recibió SMS que aparentaban proceder de su banco y sufrió varias transferencias sin su consentimiento. Ante la negativa de la entidad a devolverle el dinero, tuvo que acudir a los tribunales.
La sentencia estima íntegramente la demanda presentada por nuestro despacho y reconoce su derecho a recuperar 16.025,40 euros, más intereses y costas.
El caso aborda una situación que afecta a clientes de distintas entidades: descubrir transferencias que no reconocen y recibir como respuesta que las operaciones se realizaron utilizando sus claves o códigos de seguridad.
Un caso de phishing bancario que también afectó a un profesional del sector
La Sección Civil del Tribunal de Instancia de Madrid, plaza n.º 16, ha dictado la sentencia n.º 447/2026, de 19 de octubre, que condena a Eurocaja Rural a devolver las cantidades reclamadas.
El perfil profesional del demandante tuvo presencia en el procedimiento. La entidad solicitó que se recabara información sobre los puestos que había desempeñado en la institución financiera en la que trabajaba. La respuesta se incorporó al proceso como diligencia final.
Sin embargo, su trayectoria profesional no impidió la estimación íntegra de la demanda. El tribunal concluye que no se probó una actuación gravemente negligente del cliente.
Conocer la actividad bancaria tampoco garantiza reconocer una suplantación sofisticada. Para atribuir al usuario las consecuencias del fraude, es necesario examinar su conducta y las circunstancias concretas del ataque.
Phishing bancario mediante SMS que parecían auténticos
Los hechos se remontan a octubre de 2022. Según el relato de la demanda recogido en la sentencia, el cliente recibió mensajes SMS que aparentaban proceder de Eurocaja Rural y aparecían en el mismo hilo que las comunicaciones habituales de la entidad.
Uno de ellos solicitaba confirmar una transferencia de 1.600 euros. El cliente no la autorizó porque no tenía ningún pago pendiente por ese importe.
La apariencia de autenticidad es una característica de los fraudes mediante phishing y smishing. Los delincuentes suplantan a una entidad conocida para que la víctima confíe en la comunicación. Cuando utilizan mensajes SMS, esta modalidad se denomina smishing.
Días después, la compañía eléctrica del cliente le reclamó una factura que debía estar domiciliada. Al contactar con su oficina bancaria para aclararlo, supo que se habían producido movimientos fraudulentos en su cuenta.
Cuando obtuvo el desglose, comprobó que los días 17 y 18 de octubre se habían realizado varias transferencias sin su consentimiento. El importe reclamado por esas operaciones y sus comisiones ascendía a 16.025,40 euros.
El uso de claves o códigos SMS no demuestra por sí solo el consentimiento
Una de las cuestiones centrales en estos procedimientos es distinguir entre la autenticación técnica de una operación y la autorización del titular de la cuenta.
Que el sistema registre la utilización de unas claves o de un código de verificación no demuestra, por sí solo, que el cliente haya consentido la transferencia.
En este asunto, aunque la demanda describía una suplantación mediante SMS, el tribunal considera que el cliente pudo sufrir una modalidad conocida como SIM swapping.
Esta técnica consiste en obtener fraudulentamente un duplicado de la tarjeta SIM mediante la suplantación de la identidad de su titular. El delincuente puede así recibir mensajes destinados a la víctima, incluidos los códigos utilizados para determinadas operaciones bancarias.
La sentencia contempla esta posibilidad sin establecer de forma concluyente todo el mecanismo técnico del ataque.
También rechaza que Eurocaja Rural pueda eludir la devolución atribuyendo la responsabilidad a la compañía telefónica. Si considera que la operadora debe responder, podrá ejercitar posteriormente la reclamación correspondiente.
El banco no acreditó negligencia grave del cliente
La resolución es especialmente clara al valorar la prueba:
«Prueba esta de negligencia grave que en el presente caso brilla por su ausencia».
El tribunal rechaza que baste con deducir que el cliente debió acceder a un enlace e introducir sus datos. También examina la cronología: los correos relativos a la factura eléctrica invocados por la entidad eran posteriores al inicio de las transferencias fraudulentas.
La sentencia recuerda que corresponde al proveedor de servicios de pago acreditar el fraude o la negligencia grave que atribuye al usuario.
Haber sido víctima de un engaño no equivale automáticamente a haber actuado con negligencia grave. Deben valorarse la conducta concreta del afectado, la apariencia de autenticidad de las comunicaciones y las pruebas disponibles.
En este caso, el juzgador considera que el cliente sufrió un engaño muy profesional y extremadamente difícil de detectar.
El TJUE y la devolución inmediata de las transferencias no autorizadas
La sentencia madrileña cita expresamente la resolución del Tribunal de Justicia de la Unión Europea de 15 de octubre de 2026, asunto C-70/25, Tukowiecka, dictada apenas cuatro días antes.
El TJUE distingue entre la obligación de devolver inicialmente el importe de una operación no autorizada y la determinación de quién debe asumir finalmente la pérdida.
Cuando el cliente comunica la operación sin demora injustificada, el proveedor debe, en principio, reintegrarla inmediatamente y, como máximo, al finalizar el siguiente día hábil desde que la detecta o recibe el aviso. Atribuir negligencia grave al usuario no permite posponer esa devolución.
La excepción requiere motivos razonables para sospechar un fraude del propio cliente y su comunicación escrita a la autoridad competente.
Posteriormente, el proveedor podrá reclamar al usuario si demuestra que concurren las condiciones que le hacen responsable de la pérdida. Esta distinción se explica también en el comunicado oficial del TJUE sobre operaciones de pago no autorizadas.
La resolución de Madrid recoge este criterio y reprocha a Eurocaja Rural haber obligado al cliente a acudir a los tribunales para recuperar su dinero.
Devolución íntegra, intereses y costas
El fallo estima íntegramente la demanda y condena a Eurocaja Rural al pago de:
- 16.025,40 euros, correspondientes a las transferencias y comisiones reclamadas.
- Los intereses legales desde la demanda.
- Las costas del procedimiento.
La defensa letrada del demandante ha estado a cargo de María Loleta Linares Polaino, de Gavín & Linares.
La sentencia no es firme y puede ser recurrida en apelación.
Aunque el procedimiento se ha seguido contra Eurocaja Rural, las cuestiones que examina —consentimiento, autenticación y prueba de negligencia grave— también son relevantes para valorar reclamaciones frente a otras entidades por operaciones no autorizadas.
¿Qué hacer si has sufrido phishing bancario?
Si descubres movimientos que no reconoces, actúa cuanto antes:
- Avisa inmediatamente al banco por sus canales oficiales. Solicita el bloqueo de los accesos comprometidos y conserva el justificante de la comunicación.
- Guarda las pruebas. Conserva SMS, correos electrónicos, conversaciones, extractos y respuestas de la entidad.
- Contacta con tu operadora si has perdido la cobertura o sospechas que alguien ha duplicado tu tarjeta SIM.
- Presenta la denuncia correspondiente.
- Reclama por escrito la devolución, identificando las operaciones que no autorizaste.
Los registros de autenticación y la documentación técnica pueden ser relevantes para esclarecer lo ocurrido. Si el banco rechaza la devolución, conviene revisar sus argumentos y las pruebas en las que se apoya.
¿Tu banco no te devuelve el dinero tras un fraude?
En Gavín & Linares defendemos a afectados por phishing bancario, smishing y transferencias no autorizadas frente a distintas entidades.
Revisamos lo ocurrido y valoramos si procede reclamar la devolución de tu dinero. Para estudiar el caso, reúne los extractos con las operaciones, los mensajes recibidos, la denuncia y la reclamación al banco con su respuesta, si ya la tienes.
Solicita una valoración de tu caso de fraude bancario.
Preguntas frecuentes sobre phishing bancario
¿Puedo reclamar si mi cuenta pertenece a otro banco?
Sí. Que este procedimiento se haya seguido contra Eurocaja Rural no limita las reclamaciones frente a otras entidades. La viabilidad depende de los hechos y las pruebas de cada caso.
¿Puedo reclamar si el banco dice que se utilizaron mis claves?
El uso de las claves no resuelve por sí solo si consentiste las transferencias ni si existió negligencia grave. Debe examinarse cómo se realizaron las operaciones y qué pruebas aporta la entidad.
¿Haber caído en un engaño significa que he cometido negligencia grave?
No automáticamente. Deben valorarse la conducta del usuario y las circunstancias del fraude. En el caso analizado, el tribunal concluyó que no se había probado negligencia grave.
¿Esta sentencia garantiza que recuperaré el dinero?
Cada reclamación requiere un análisis individual. La resolución reconoce la devolución en este caso concreto y todavía puede recurrirse en apelación.
