La banca afronta una nueva batalla frente a los clientes por las ciberestafas con 1.000 millones de euros en juego para el sector

La justicia europea ha dado un giro a la batalla entre bancos y clientes por las ciberestafas que aboca a las entidades a pleitear contra sus propios usuarios en los casos en los que consideren que ha habido negligencia por su parte. Antes, en cualquier caso, debern pagar. Fuentes del sector consultadas por este diario estiman que el impacto potencial para la banca espaola derivado de reclamaciones podra acercarse a los 1.000 millones de euros, aunque la cifra depender finalmente del volumen y del resultado de las reclamaciones.

La sentencia del Tribunal de Justicia de la UE (TJUE), dictada en el asunto C-70/25, resuelve el caso de una mujer polaca que sufri una estafa al intentar vender un objeto por Internet. Un supuesto comprador le envi un enlace fraudulento que permiti a los estafadores realizar operaciones de pago. El fallo aclara que, cuando se denuncia una operacin no autorizada, la entidad debe devolver el importe de forma inmediata y, en todo caso, como mximo al final del da hbil siguiente a aquel en que haya detectado o recibido la notificacin de la operacin.

Las mismas fuentes consideran que el fallo puede tener un "impacto importante" tanto en el sector financiero como en los consumidores, dado el enorme crecimiento de este tipo de fraudes en los ltimos aos, hasta el punto de que se han convertido en el tipo de reclamaciones reportadas al Banco de Espaa. A nivel europeo, los fraudes en medios de pago alcanzaron los 4.200 millones de euros en 2024, segn datos del BCE, el propio Banco de Espaa y la patronal bancaria regional EBA; de ellos, 300 millones correspondieron a Espaa.

"El impacto para el sector bancario puede ser relevante, tanto econmico como operativo. La sentencia cambia, sobre todo, el momento en el que se discute quin debe soportar finalmente la prdida. Ante una operacin de pago no autorizada, la entidad financiera debe reembolsar inmediatamente el importe al cliente y no puede paralizar esa devolucin alegando simplemente que ste pudo actuar con negligencia grave. Si posteriormente considera que existi esa negligencia, tendr que acreditarla y, en su caso, reclamar al cliente", explica Ignacio Ripol, socio de Procesal y Compliance de Grant Thornton, a preguntas de EL MUNDO. "Esto puede traducirse en un incremento de los reembolsos iniciales y, previsiblemente, de las reclamaciones de clientes, adems de obligar a las entidades a revisar sus procedimientos internos de gestin del fraude, investigacin de operaciones y conservacin de evidencias. En definitiva, el TJUE traslada con mayor claridad a la entidad financiera la carga inicial del riesgo, sin perjuicio de que posteriormente pueda discutirse quin debe soportar definitivamente la prdida", aade.

Cambia la parte que inicia el procedimiento y es una de las diferencias clave que introduce el dictamen del TJUE. Para Ripol, lo verdaderamente relevante de la sentencia del TJUE es que separa claramente dos momentos: "una cosa es la obligacin inmediata de reembolsar una operacin no autorizada y otra distinta determinar quin debe soportar definitivamente la prdida. Hasta ahora, la existencia de una posible negligencia grave del cliente poda utilizarse para rechazar inicialmente la devolucin. El TJUE establece que, con carcter general, esa discusin debe producirse despus, puesto que primero se devuelve y, si la entidad considera que existi negligencia grave, deber probarla y reclamar posteriormente".

Visto desde la perspectiva de los consumidores, tal y como explica Marisa Protomartir, directora legal de la Asociacin de Usuarios Financieros Asufin, "supone pasar de tener que demandar a los bancos para recuperar el dinero que le han defraudado a ser demandados por los bancos, siempre que la entidad pueda probar la negligencia y est dispuesta a judicializar el asunto". Segn datos de la organizacin, hasta ahora entre el 80% y el 90% de los tribunales daban la razn a los clientes, "de modo que ahora el banco debe reflexionar sobre la oportunidad de comenzar este tipo de procedimientos, muchos con pequeas cuantas".

Por lo pronto, la organizacin ultima el envo de requerimientos a todas las entidades con las que tienen abiertos procesos de reclamacin, tanto por va jurdica como por va extrajudicial. Segn su presidenta, Patricia Surez, quieren dejar claro a los bancos que "vamos en serio y queremos nuestro dinero" y quieren tambin que los consumidores "dejen de pagar este pato". A su juicio, este fallo debera servir de punto de inflexin para que el sector financiero refuerce an ms sus controles de seguridad y reflexione sobre la posibilidad de pedir responsabilidades a los partners y proveedores tecnolgicos.

Desde el sector financiero restan dimensin a la sentencia del TJUE e inciden en que se alinea con la normativa actual, que ya contempla los reembolsos sobre las operaciones no autorizadas, es decir, las operaciones en las que el usuario no ha intervenido ni ha dado su consentimiento, sino que ha sido suplantado por un tercero. Por el contrario, explican esas mismas fuentes, la sentencia no aplica a operaciones autorizadas.

Segn Ignacio Ripol, de Grant Thornton, el fallo "ser especialmente relevante en fraudes como el phishing, la suplantacin de identidad o la apropiacin de credenciales, cuando el delincuente consigue ejecutar una operacin que el cliente realmente no ha autorizado". En cambio, "la situacin puede ser ms compleja cuando es la propia vctima quien ordena materialmente la transferencia, aunque lo haga engaada por un tercero, como puede ocurrir en determinados fraudes del falso proveedor, del falso CEO o Business Email Compromise. En estos casos, una de las cuestiones fundamentales ser determinar si jurdicamente estamos ante una operacin de pago no autorizada. A nuestro juicio, es indiferente quin ejecute materialmente la transferencia. Lo relevante es si el cliente ha consentido realmente la operacin. Cuando acta engaado por un tercero, ya sea mediante una suplantacin de identidad, un falso proveedor o un falso CEO, entendemos que estamos ciertamente ante una operacin no autorizada".

La sentencia puede ser invocada en reclamaciones y procedimientos que todava estn pendientes de resolucin firme. No se trata de una nueva norma aplicable nicamente a los fraudes que se produzcan a partir de ahora, sino ante la interpretacin que realiza el Tribunal de Justicia de la normativa europea sobre servicios de pago. "Esto puede resultar especialmente relevante para reclamaciones que fueron inicialmente rechazadas porque la entidad financiera atribuy al cliente una negligencia grave y que todava estn abiertas o pendientes de resolucin. Distinto es el caso de procedimientos que ya hayan terminado mediante resolucin judicial firme, que la sentencia del TJUE no permite reabrir automticamente", explica Ripol. Por ello, considera que es un buen momento para revisar aquellas operaciones fraudulentas que nunca llegaron a reclamarse al banco o aquellas reclamaciones que fueron rechazadas por la entidad. La normativa establece, con carcter general, un plazo mximo de 13 meses desde la fecha del adeudo para comunicar al banco una operacin no autorizada, por lo que resulta especialmente importante comprobar en cada caso si todava se est dentro de plazo.

El TJUE obliga a las entidades a pagar primero y a denunciar después si consideran que el usuario ha sido negligente.

La sentencia será relevante en fraudes por 'phising', suplantación de identidad, apropiación de credenciales o cualquier operación no autorizada Leer