Phishing bancario: qué es, cómo reclamar y jurisprudencia actual

El phishing bancario es una estafa en la que alguien suplanta al banco por correo electrónico, SMS o teléfono para obtener las claves del cliente y vaciar su cuenta. La ley obliga al banco a devolver el importe de las operaciones que el cliente no autorizó, salvo que la entidad pruebe que este actuó de forma fraudulenta o con negligencia grave. Esta guía explica cómo funciona esa regla, qué han dicho el Tribunal Supremo y las audiencias provinciales y cómo reclamar.

Qué es el phishing bancario y qué modalidades existen

Con el nombre de phishing se agrupan técnicas en las que el atacante se hace pasar por la entidad para obtener claves, códigos de verificación o datos de tarjeta, a veces con webs clonadas o programas maliciosos:

• Phishing por correo electrónico: un email con el diseño del banco alerta de un supuesto bloqueo o movimiento sospechoso y enlaza con una web fraudulenta que captura las credenciales.
• Smishing (SMS): el mismo engaño por mensaje de texto; algunos atacantes consiguen que el SMS aparezca en el mismo hilo que los mensajes legítimos del banco.
• Vishing (llamada): el estafador se hace pasar por un empleado del banco, a menudo con técnicas de spoofing que muestran en pantalla el número real de la entidad.
• SIM swapping: los delincuentes obtienen un duplicado de la tarjeta SIM vinculada a la banca digital y reciben los códigos de autenticación sin intervención del usuario.

Hay además modalidades en auge, como el quishing (por código QR), las estafas por WhatsApp o la estafa del CEO en entornos empresariales, y todas comparten el mismo marco legal. Sus particularidades se explican en la guía sobre tipos de fraude bancario y cómo actuar y, si el engaño afecta a la tarjeta, en la dedicada al fraude con tarjeta de crédito y débito.

Qué dice la ley: el banco responde salvo fraude o negligencia grave

El régimen está en el Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago (RDL 19/2018), que transpone la Directiva (UE) 2015/2366 (PSD2). La jurisprudencia lo describe como un sistema de responsabilidad cuasi objetiva del proveedor de servicios de pago. Los preceptos clave son estos:

Además, el artículo 2 del Reglamento Delegado (UE) 2018/389 obliga a los proveedores a disponer de mecanismos de supervisión que permitan detectar operaciones no autorizadas o fraudulentas, de modo que enviar un SMS con un código no agota las obligaciones de seguridad del banco. Nada de esto supone que toda estafa genere automáticamente una devolución: la cuestión decisiva suele ser si hubo negligencia grave, y depende de cada caso.

La STS 571/2025: la doctrina del Tribunal Supremo

Sentencias públicas de otros procedimientos, seleccionadas como referencia; no son asuntos de este despacho. El resultado de cada caso depende de sus circunstancias.

La Sentencia del Tribunal Supremo 571/2025, de 9 de abril de 2025 (Sala de lo Civil, ROJ STS 1671/2025, ECLI:ES:TS:2025:1671, rec. 1151/2023, ponente Manuel Almenar Belenguer), es la referencia del Supremo en fraude en la banca electrónica. Desestimó, con costas, el recurso de casación de Ibercaja Banco, S.A. y confirmó la sentencia de la Audiencia Provincial de Zaragoza (Sección 5.ª) 996/2022, de 17 de noviembre (rollo 20/2022).

Los hechos. Desde el 24 de febrero de 2021, el cliente comunicó a su sucursal avisos de acceso no autorizado, SMS con códigos para transferencias que no había ordenado y cargos no autorizados de Google Play y Google Ads con su tarjeta; el 17 de marzo pidió en la oficina cancelar la tarjeta. Esa noche, con un duplicado fraudulento de la SIM de su esposa obtenido en un distribuidor de Murcia, los estafadores ejecutaron quince transferencias —diez por Bizum, de 500 euros cada una, y cinco por Ibercaja Directo— por 83.692,73 euros, comisiones incluidas; el cliente reclamó 56.474,63 euros, la parte no recuperada. Ibercaja alegó el doble factor de autenticación, que el cliente no protegió sus dispositivos y la cláusula 8.ª del contrato de banca digital, que la eximía de las «intromisiones ilegítimas de terceros».

La doctrina. El fundamento de derecho segundo, apartado 6, explica el carácter cuasi objetivo de la responsabilidad y sus cargas de prueba. En palabras del Tribunal:

«[…] la responsabilidad del proveedor de los servicios de pago, en los casos de operaciones no autorizadas o ejecutadas incorrectamente, tiene carácter cuasi objetivo, en el doble sentido de que, primero, notificada la existencia de una operación no autorizada o ejecutada incorrectamente, el proveedor debe responder salvo que acredite la existencia de fraude; y, segundo, cuando el usuario niegue haber autorizado la operación o alegue que ésta se ejecutó incorrectamente, corresponde al proveedor acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio, sin que el simple registro de la operación baste para demostrar que fue autorizada ni que el usuario ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave.»

El caso fue un SIM swapping, no un phishing en sentido estricto, pero la sentencia fija ideas que las audiencias aplican a cualquier fraude digital:

• La «deficiencia del servicio» no es solo un fallo informático: abarca cualquier falta de diligencia o mala praxis, y la diligencia exigible al banco es la del «ordenado y experto comerciante», no la del «buen padre de familia».
• El fundamento de derecho tercero, apartado 2, precisa que utilizar las claves personales no equivale, por sí solo, a que el cliente haya consentido la operación. Las operaciones iniciadas con sus claves y confirmadas por SMS son «no autorizadas» si el usuario niega haberlas autorizado.
• El acceso de un tercero a las claves no supone por sí mismo negligencia del usuario, y menos aún grave, y las advertencias genéricas o avisos estereotipados del banco no sirven para imputársela.
• Las buenas prácticas pasan por detectar de forma automática operaciones anómalas y generar una alerta o un bloqueo temporal. Que quince transferencias en una noche por más de 80.000 euros no hicieran saltar las alarmas, pese a los avisos previos del cliente, que no motivaron ni siquiera un cambio de claves, evidenció un servicio defectuoso; la cláusula de exoneración no evitó la condena.

Sentencias de la Audiencia Provincial de Madrid en las que el banco fue condenado

Estas cinco resoluciones, dictadas entre 2024 y 2026, son una selección de casos favorables a los clientes bancarios, no una muestra de todos los resultados judiciales.

Banco Santander: phishing por correo (SAP Madrid 15/2026)

Sentencia n.º 15/2026, de 21 de enero de 2026 (ROJ SAP M 2145/2026, ECLI:ES:APM:2026:2145), rec. 1060/2024, ponente Ramón Badiola Diez. La clienta, que dos días antes había recibido por correo postal sus nuevas tarjetas, creyó auténtico un correo con el logotipo del banco que le pedía reactivarlas e introdujo usuario y clave en una web falsa; según la demanda, el banco bloqueó una transferencia sospechosa, pero no cinco compras por 6.443,78 euros con las tarjetas aún no activadas. Frente a los argumentos del banco, la Audiencia declaró en el fundamento de derecho segundo, apartado ii, que «la conducta de la demandante no puede ser calificada de negligencia grave», pues fue víctima de un engaño complejo, y recordó que el certificado del banco sobre la autenticación y el registro no le exime de responsabilidad. Confirmó íntegramente la condena del Juzgado de Primera Instancia n.º 1 de Madrid.

Caja Rural: SMS fraudulento y control del móvil (SAP Madrid 133/2026)

Sentencia n.º 133/2026, de 17 de abril de 2026 (ROJ SAP M 4955/2026, ECLI:ES:APM:2026:4955), rec. 1587/2024, ponente Agustín Manuel Gómez Salcedo; entidad, Caja Rural de Jaén, Barcelona y Madrid, S.C.C. Tras un SMS fraudulento recibido el 1 de marzo de 2021, los delincuentes tomaron el control del móvil de la clienta y los días 4 y 5 de marzo ejecutaron tres transferencias de 1.997, 999 y 2.040 euros (5.036 euros). El Juzgado de Primera Instancia e Instrucción n.º 6 de Leganés condenó al banco, que apeló con logs internos, un certificado de su proveedor tecnológico y la autenticación con clave de firma y códigos OTP. La Audiencia, aplicando expresamente la STS 571/2025, respondió que la carga de la prueba del banco

«No se satisface mediante la mera aportación de registros internos, logs o certificaciones técnicas generadas unilateralmente, siendo preciso acreditar, además, que la operación no se vio afectada por fallo técnico u otra deficiencia del servicio.»

Confirmó que la clienta actuó inducida por un engaño complejo, sin iniciativa propia y con la diligencia de una persona media. Y valoró un dato comparativo: Openbank, donde también tenía cuenta, detectó de inmediato intentos similares, los bloqueó y la alertó, mientras que Caja Rural no hizo nada. En el fundamento de derecho segundo, apartado 4, sin convertir la actuación de Openbank en el único canon de diligencia exigible, la Audiencia la considera un «indicio cualificado de la anormalidad de la operativa». Confirmó la condena a reembolsar 5.036 euros más intereses legales, con las costas de la apelación.

Unicaja: vishing desde el número oficial (SAP Madrid 457/2025)

Sentencia n.º 457/2025, de 18 de diciembre de 2025 (ROJ SAP M 17262/2025, ECLI:ES:APM:2025:17262), rec. 195/2025, ponente Isabel Serrano Frías. El cliente recibió una llamada desde el número de atención al cliente de Unicaja de un supuesto gestor que dijo que iba a cancelar operaciones no autorizadas. En el fundamento de derecho tercero, la Sala recordó que «no basta con medidas genéricas de protección o avisos estereotipados» y que habría bastado un control automático del dispositivo, el tipo, número y sucesión de operaciones, la hora, el importe o el destinatario para generar un aviso. Confirmó la condena del Juzgado de Primera Instancia e Instrucción n.º 3 de Leganés, con las costas de la alzada.

CaixaBank: condena en apelación (SAP Madrid 426/2024)

Sentencia n.º 426/2024, de 2 de diciembre de 2024 (ROJ SAP M 16883/2024, ECLI:ES:APM:2024:16883), rec. 807/2023, ponente María Ángeles Martínez Domínguez. Tras SMS con el anagrama de CaixaBank por el canal habitual y la llamada de un falso gestor, la clienta facilitó sus credenciales y se transfirieron 6.120 euros a una cuenta a nombre de un tercero con dirección en Roma. El juzgado la consideró negligente (por no colgar la llamada o no borrar los mensajes, entre otras razones), pero la Audiencia revocó la sentencia: en el fundamento de derecho tercero valoró el fraude sofisticado, no apreció negligencia grave y reprochó a la entidad no alertar de una transferencia internacional que agotaba el saldo.

Triodos Bank: smishing con spoofing (SAP Madrid 155/2025)

Sentencia n.º 155/2025, de 8 de abril de 2025 (ROJ SAP M 4572/2025, ECLI:ES:APM:2025:4572), rec. 633/2024, ponente Juana de la Cruz Serrano González; entidad, Triodos Bank N.V., S.E. SMS con el número del banco suplantado llevaron al cliente a una web fraudulenta que Cybersoc de Deloitte había detectado antes del ataque; hubo dos transferencias (3.000 y 1.000 euros) y tres compras con tarjeta (750, 750 y 200 euros). El juzgado apreció negligencia grave, pero la Audiencia (fundamento de derecho tercero, apartados 1 a 3) distinguió el código de acceso, que el cliente facilitó, del código para cambiar el móvil asociado, que no quedó aclarado, y valoró la reacción insuficiente del banco a la alerta. Recordó que la responsabilidad de la entidad «es cuasi objetiva y sólo cede ante la negligencia grave del cliente» y la condenó a pagar 5.700 euros, más intereses y costas de primera instancia. Se dictó un día antes que la STS 571/2025.

Qué muestran estas sentencias

En estos casos, introducir credenciales en una web falsa, confiar en una llamada aparentemente del banco o caer en un SMS de phishing no se consideró negligencia grave, y dos sentencias desfavorables se revirtieron en apelación. No se obtiene de ello una probabilidad de éxito ni una regla automática: lo decisivo fue la prueba de cada asunto. Las resoluciones posteriores se recogen mes a mes en la crónica de sentencias sobre phishing bancario de 2026.

Cuándo hay negligencia grave del cliente

La negligencia grave es el principal argumento de los bancos para no devolver el dinero. Según el considerando 72 de la Directiva PSD2, «tiene que significar algo más que la mera negligencia, lo que entraña una conducta caracterizada por un grado significativo de falta de diligencia». No se presume: el banco debe probarla (art. 44.3) y acreditar una conducta manifiestamente descuidada, más allá de lo esperable de una persona media.

Casos en que el banco ganó

• SAP A Coruña 304/2026, de 20 de mayo de 2026 (ROJ SAP C 1467/2026), rec. 1011/2025. Abanca, 3.030,50 euros. Tras introducir su DNI y su clave en una web falsa, el cliente fue facilitando al estafador, durante unos veinte minutos, cuatro códigos; tres de los SMS decían «TRANSFERENCIA» en mayúsculas, con el importe (496, 1.140 y 1.390 euros), la cuenta de destino y un teléfono 900 al que llamar si no era él quien operaba. La Audiencia revocó la sentencia favorable al cliente: facilitar hasta cuatro veces los códigos pese a que el texto de los SMS no dejaba lugar a duda constituye negligencia grave.
• SAP Córdoba 411/2026, de 10 de abril de 2026 (ROJ SAP CO 673/2026), rec. 422/2025. BBVA, 5.000 euros. Siguiendo las indicaciones de un falso empleado que llamaba desde un teléfono ajeno al banco, la clienta fue remitiendo 16 códigos de un solo uso, con los que se hicieron doce cargos con tarjeta en comercio electrónico; BBVA había exigido doble factor. La negligencia grave no estuvo tanto en facilitar el acceso a la banca digital como en ir remitiendo todos esos códigos, y pesaron las contradicciones de la clienta.

También hay audiencias que la han apreciado cuando el cliente facilita claves y códigos ante una simple llamada (la SAP Madrid de 8 de abril de 2025 recoge varios ejemplos). Los factores que más pesan son el número de códigos facilitados (no es lo mismo uno que cuatro o dieciséis), la claridad de los SMS (si indicaban transferencias con importe y destino) y el tiempo disponible para reaccionar (un fraude de veinte minutos o más, con varias interacciones, daba ocasión de verificar).

Casos en que no se apreció

La SAP Málaga 243/2026, de 19 de marzo de 2026 (ROJ SAP MA 1111/2026, rec. 600/2025), resolvió un caso parecido con resultado opuesto: tras un SMS por el canal habitual de Unicaja y una llamada en cuya pantalla figuraba «UNICAJA», el cliente facilitó los códigos. Aunque el banco alegó que los SMS hablaban de autorizar operaciones y no de cancelarlas, la Audiencia entendió que el lógico error de creer que hablaba con su entidad excluía la negligencia grave y confirmó la condena del Juzgado de Primera Instancia n.º 1 de Fuengirola. No hay reglas automáticas, pero los tribunales han descartado la negligencia grave, entre otros, en estos supuestos:

• Engaño sofisticado: SMS en el mismo hilo que los del banco o llamada con el número real de la entidad.
• Un solo código facilitado ante un engaño convincente; la Audiencia Provincial de Cantabria no apreció negligencia grave en una clienta que lo facilitó creyendo que así cancelaba una operación (SAP Cantabria 491/2024; ROJ SAP S 1056/2024).
• SIM swapping: los códigos llegan a la SIM duplicada sin intervención del usuario.
• Falta de medidas del banco: si el banco no tenía sistemas para detectar operaciones inusuales, direcciones IP diferentes u horarios atípicos, los tribunales pueden considerar que no puede escudarse en la negligencia del usuario.

Si el titular de la cuenta es una empresa o un profesional

El régimen también protege a las empresas, con un matiz: cuando el usuario no es consumidor ni microempresa, el artículo 34.1 del RDL 19/2018 permite pactar que no se apliquen, total o parcialmente, entre otros, los artículos 44 y 46. Hay que comprobar, por tanto, los pactos del contrato marco y la condición del titular.

La SAP Valencia (Sección 8.ª) 384/2026, de 14 de abril (ROJ SAP V 699/2026, ECLI:ES:APV:2026:699), dictada en órgano unipersonal por el magistrado Pedro Luis Viguer Soler, resolvió el caso de una sociedad cuya apoderada detectó el 27 de abril de 2022 una transferencia de 4.982 euros que no había ordenado, tras ver la pantalla de la banca online «en negro», reiniciar el equipo e introducir el token. La empresa reclamó 4.984 euros, y el Juzgado de Primera Instancia n.º 1 de Alzira desestimó la demanda, sobre todo porque no tenía antivirus. La Audiencia aplicó el mismo régimen aunque la mecánica difería del phishing tradicional y reprochó al juzgado haber planteado la cuestión al revés:

«no corresponde a la parte a[c]tora acreditar si la entidad bancaria incurrió en negligencia, como se sostiene erróneamente en la sentencia impugnada, teniendo en cuenta que nos hallamos en un régimen de responsabilidad cuasi objetiva o por riesgo, sino si el usuario de los servicios de pago ha incurrido en fraude o negligencia grave que exima al banco de su responsabilidad, que es cuestión radicalmente distinta.»

No consideró negligencia «grave» la falta de antivirus, dato además sin respaldo probatorio, y recordó que, si un banco no ha sido capaz de limitar el acceso al canal de banca electrónica, no puede pretender que la víctima sea la única responsable. Condenó a BBVA a pagar 4.984 euros más intereses legales desde la demanda y las costas de primera instancia.

En la misma línea, la SAP Cádiz 483/2026, de 20 de febrero de 2026, revocó la sentencia que había apreciado negligencia grave del administrador de una pequeña empresa de albañilería que, tras un correo fraudulento, sufrió dos transferencias a personas físicas en Holanda y Bélgica (9.820 y 5.100 euros). Correspondía a CaixaBank acreditar un consentimiento válido, sin que bastara invocar el protocolo de autenticación; pesó el carácter «estrambótico» de unas transferencias por cuantías y destinos que la empresa nunca había tenido, y se aplicó el mismo régimen aunque la demandante no era consumidora.

Cómo reclamar al banco paso a paso

1. Bloquee las claves y avise al banco. Llame al teléfono de emergencias de su entidad, pida el bloqueo de las credenciales y un número de referencia, y cambie todas sus claves. Deje constancia escrita del aviso (sin demora injustificada y nunca después de 13 meses desde el adeudo): cada comunicación prueba una conducta diligente.
2. Denuncie ante la Policía Nacional o la Guardia Civil, con capturas del mensaje fraudulento y los extractos con los cargos. La denuncia es prueba esencial y acredita la naturaleza delictiva de los hechos.
3. Reclame por escrito al servicio de atención al cliente. Incluya los hechos (fecha, hora, importes y tipo de fraude), la referencia de la denuncia y la solicitud expresa de reembolso con base en el artículo 45, y pida los registros de cada operación (art. 44.4). El banco debe contestar en 15 días hábiles, o un mes en casos excepcionales.
4. Si lo considera útil, acuda al Banco de España. Es una vía opcional, a la que solo se accede tras reclamar al banco. Su servicio de reclamaciones tiene un plazo máximo de 90 días naturales y su informe no es vinculante, aunque durante la tramitación el banco puede rectificar y un informe favorable puede aportarse en juicio. En el caso de Caja Rural, el Banco de España no apreció quebrantamiento de la normativa y los tribunales dieron la razón a la clienta.
5. Intente un medio adecuado de solución de controversias. Desde el 3 de abril de 2025, para demandar es requisito, con carácter general, haberlo intentado antes (art. 5 de la Ley Orgánica 1/2025). Acudir al Banco de España no es requisito previo; cómo acreditar el intento conviene revisarlo con su abogado.
6. Valore la vía judicial. Hasta 15.000 euros se sigue el juicio verbal, en el que abogado y procurador solo dejan de ser obligatorios si la cuantía no supera 2.000 euros; por encima, el juicio ordinario, con ambos. Se reclaman el capital y los intereses legales (según el caso, desde la operación o desde la reclamación). Si se estima totalmente la demanda, las costas se imponen en principio al banco (art. 394 LEC), aunque la parte de honorarios de abogado a cargo del condenado no puede exceder, con carácter general, de un tercio de la cuantía. La duración depende del juzgado y de si hay apelación. El principal riesgo es que se aprecie negligencia grave, y conviene evaluarlo antes de demandar; la página de abogado de phishing y fraude bancario en Madrid explica cómo se plantea ese análisis.

La guía paso a paso para reclamar el phishing bancario detalla plazos y documentos, y el test de phishing bancario ofrece una primera orientación sobre si su caso es reclamable.

Valoración del despacho

El pleito de phishing se gana o se pierde con la prueba. Lo primero es la cronología: cuándo se produjo el engaño, qué datos se facilitaron y por qué canal, qué operaciones se ejecutaron y cuándo se avisó al banco. También hay que distinguir si las operaciones las ejecutó un tercero con credenciales obtenidas mediante engaño o si fue el propio cliente quien, engañado, ordenó la transferencia o el Bizum, porque entonces la operación se considera en principio autorizada y la reclamación es más difícil. Frente a los logs de autenticación del banco, el cliente no debe limitarse a negar la operación, sino acreditar que el engaño era verosímil y que el banco no detectó una operativa anómala.

Desde el primer día conviene reunir capturas de los mensajes (también del SMS en el hilo del banco) y del registro de llamadas con número y hora, extractos, la denuncia y el justificante del aviso, y no restaurar ni borrar el móvil si pudo quedar comprometido. Los registros de cada operación (dispositivo, IP, método de autenticación, hora de cada SMS y de cada código) deben compararse con los hábitos del cliente: importes, destinatarios nuevos, horarios, transferencias encadenadas o al extranjero; si otra entidad detectó el ataque, como Openbank, ese dato debe llevarse al pleito. La negligencia grave se decide con el texto literal de los SMS de confirmación: si eran genéricos o llegaron en el hilo del banco, la defensa de la entidad pierde fuerza; si describían una transferencia concreta y se facilitaron varios códigos durante un tiempo prolongado, el riesgo es real, como muestran A Coruña y Córdoba, y debe advertirse antes de litigar.

Los errores más frecuentes son retrasar el aviso, reclamar sin conservar el SMS o la llamada, admitir por escrito fórmulas como «facilité mis claves» y aceptar sin revisarla la respuesta estándar que atribuye la operación a la «autenticación reforzada», cuando ese registro no prueba por sí solo la autorización. Un criterio desfavorable del Banco de España no cierra la vía judicial. Si el titular es una empresa, hay que revisar antes el contrato marco, porque un pacto del artículo 34.1 puede alterar la carga de la prueba. Y la STS 571/2025 debe leerse con precisión: resolvió un SIM swapping con avisos previos desatendidos; su doctrina sirve en otros fraudes, pero no convierte cualquier pérdida en recuperable.

Preguntas frecuentes

¿Puedo reclamar aunque facilité mis claves al estafador?

Sí. La jurisprudencia distingue la negligencia grave, un descuido inexcusable, del error provocado por técnicas elaboradas de ingeniería social. En varias de las sentencias de Madrid citadas, como la de 21 de enero de 2026, la clienta había facilitado sus credenciales y aun así se estimó su reclamación; otras audiencias sí han apreciado negligencia grave, por lo que hay que analizar cómo se produjo el engaño.

¿Y si fui yo quien, engañado, ordenó la transferencia o el Bizum?

En principio la operación es autorizada y la reclamación es más difícil. Aun así, la SAP Jaén 203/2026, de 13 de febrero de 2026 (ROJ: SAP J 290/2026; Unicaja, 4.000 euros), confirmó la condena del banco frente a un cliente que, tras un SMS por el canal habitual y llamadas de un supuesto empleado que conocía sus datos, autorizó dos transferencias de 2.000 euros: un «error que no puede entenderse que fuera fácilmente evitable». Y la SAP Ourense 239/2026, de 13 de abril de 2026 (ROJ: SAP OU 280/2026; BBVA, 6.005 euros), confirmó la devolución íntegra a una clienta que transfirió ella misma el dinero desde la app siguiendo a un falso empleado, y rechazó que BBVA no respondiera de la manipulación del identificador de llamada (CLI). Véanse también las guías para recuperar dinero estafado por transferencia bancaria y sobre estafas por Bizum.

¿Hasta cuándo puedo demandar al banco?

Además del plazo de 13 meses para comunicar la operación, la acción judicial de responsabilidad contractual prescribe a los 5 años (art. 1964.2 del Código Civil), como recordó la Audiencia Provincial de Cáceres en su sentencia 95/2026, de 23 de marzo de 2026 (ROJ SAP CC 203/2026), que rechazó el plazo de un año alegado por el banco.

¿Qué es el asunto C-70/25 del Tribunal de Justicia de la Unión Europea?

Una cuestión prejudicial planteada por un tribunal polaco. En sus conclusiones de 5 de marzo de 2026, el Abogado General propuso que el banco no pueda denegar la devolución inmediata de una operación no autorizada alegando negligencia grave del cliente. Las conclusiones no vinculan al Tribunal de Justicia: lo determinante será su sentencia.