Sentencias sobre phishing bancario en 2026: por meses y por banco

Esta página reúne las sentencias sobre phishing bancario de 2026 (phishing, smishing, vishing y otras operaciones no autorizadas) y resoluciones anteriores de referencia, con el tribunal, la fecha, el Roj o ECLI y lo que resolvió cada una. Se ordenan por mes de incorporación, de la más reciente a la más antigua, se agrupan por entidad y se actualizan cada mes. Para saber cómo reclamar, consulte la guía para reclamar phishing bancario paso a paso.

Sentencias públicas de otros procedimientos, seleccionadas como referencia; no son asuntos de este despacho. El resultado de cada caso depende de sus circunstancias.

La doctrina de referencia: Tribunal Supremo y TJUE

Las audiencias provinciales citan la STS 571/2025 como referencia en materia de fraude bancario, y en el Tribunal de Justicia de la Unión Europea está pendiente el asunto C-70/25. La STS 787/2026 (Roj: STS 2338/2026), sobre un fraude a una empresa por suplantación de correo electrónico, se reseña en «Mayo a julio de 2026». El marco general de la reclamación está en la guía sobre phishing bancario: cómo reclamar y jurisprudencia actual.

STS 571/2025: SIM swapping y responsabilidad cuasi objetiva del banco (Ibercaja)

La Sentencia del Tribunal Supremo 571/2025, de 9 de abril (ROJ: STS 1671/2025, ECLI:ES:TS:2025:1671), dictada por la Sala de lo Civil con ponencia de Manuel Almenar Belenguer, resuelve el caso de un cliente de Ibercaja que, tres semanas antes, había avisado al banco de que recibía SMS con códigos para validar transferencias que no había pedido y de cargos no autorizados en su tarjeta, y que el 17 de marzo de 2021 pidió en su oficina la cancelación de la tarjeta. Esa tarde se duplicó sin autorización la SIM de la línea móvil de su esposa, lo que permitió a los delincuentes recibir y utilizar los códigos de validación, y hasta la mañana del 18 de marzo se hicieron 15 operaciones (diez por Bizum, de 500 euros cada una, y cinco transferencias) por 83.692,73 euros, comisiones incluidas. Las alarmas no saltaron hasta la mañana siguiente, y por una llamada de Banco Santander, que había detectado el ingreso en una cuenta sospechosa.

Ibercaja alegó que las operaciones se autenticaron con doble factor, que la seguridad del ordenador y del móvil correspondía al usuario y que una cláusula del contrato la exoneraba. La Audiencia Provincial de Zaragoza (Sección 5.ª, sentencia 996/2022, de 17 de noviembre; ROJ SAP Z 1992/2022) confirmó la condena: la cláusula «no puede entenderse válida en tanto en cuanto vaya contra el régimen normativo imperativo», y las operaciones «deberían haber sido detectadas por los sistemas técnicos de Ibercaja». El Supremo desestimó la casación, con costas, y fijó tres reglas:

• Responsabilidad cuasi objetiva. Con el Real Decreto-ley 19/2018, que transpone la Directiva (UE) 2015/2366 (PSD2), el banco responde de las operaciones no autorizadas salvo fraude, incumplimiento deliberado o negligencia grave del usuario, y debe probar que la operación no se vio afectada por «un fallo técnico u otra deficiencia del servicio prestado» (art. 44.1). Esa «otra deficiencia» le obliga a actuar con la diligencia exigible según las circunstancias, no solo a verificar que sus sistemas no fallaron.
• El registro del banco no prueba el consentimiento. «El mero hecho del registro por el proveedor de la utilización del instrumento de pago no bastará, necesariamente, para demostrar que la operación de pago fue autorizada por el ordenante, ni que éste ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave una o varias de sus obligaciones».
• La carga de la prueba es del banco (art. 44.3 del RDL 19/2018), y «el que un tercero hubiera podido acceder a las claves de acceso a la banca digital del demandante no supone per se que haya incurrido en negligencia alguna, pudiendo existir múltiples explicaciones, muchas de las cuales resultan difícilmente atribuibles a título de negligencia, y menos aún, de negligencia grave».

La sentencia aprecia un servicio defectuoso: quince operaciones en una noche no hicieron saltar las alarmas, pese a que el Reglamento Delegado (UE) 2018/389 exige mecanismos de supervisión para detectar operaciones no autorizadas o fraudulentas, y el banco no extremó las precauciones tras los avisos del cliente. El Supremo rechazó también que la responsabilidad del banco se limite a sus propios sistemas y confirmó el criterio de que las advertencias genéricas o los avisos estereotipados no sirven para imputar negligencia al cliente.

Las audiencias aplican esta doctrina más allá del SIM swapping (así, en Madrid, las SAP Madrid 15/2026, 133/2026 y 457/2025, reseñadas por entidad), y sus criterios pueden invocarse también en casos de vishing y otras modalidades de fraude bancario siempre que la operación la haya ejecutado el estafador. Cuando es el propio cliente quien ordena la transferencia engañado, el análisis es distinto y más discutido.

Asunto C-70/25 (Tukowiecka): las conclusiones del Abogado General

El asunto procede de Polonia: una consumidora que vendía un artículo en una plataforma de subastas en línea introdujo sus credenciales en webs que imitaban la plataforma y su banco, y este se negó a devolverle lo sustraído alegando negligencia grave. El tribunal polaco preguntó al TJUE si el deber de reembolso inmediato del artículo 73 de la PSD2 se aplica siempre o si el banco puede retener la devolución cuando sospecha que el cliente fue gravemente negligente.

En sus conclusiones de 5 de marzo de 2026, el Abogado General Athanasios Rantos propone que el banco devuelva primero e investigue después. El reembolso es obligatorio de inmediato (como máximo, al final del día hábil siguiente) en todos los casos, salvo que el banco tenga motivos razonables para sospechar fraude y lo comunique por escrito a la autoridad competente (en España, al Banco de España: art. 45.1 del RDL 19/2018). La negligencia grave no es esa excepción: solo permite al banco, después de reembolsar, reclamar al usuario lo devuelto si logra demostrarla. El artículo 73 de la PSD2 (art. 45 del RDL 19/2018) es así temporalmente prioritario sobre el artículo 74 (art. 46 del RDL 19/2018), que regula la responsabilidad del ordenante. Si el Tribunal la siguiera, los bancos no podrían denegar la devolución inicial por negligencia grave y serían ellos quienes tendrían que reclamar y probarla.

Estado procesal. Las conclusiones se publicaron el 5 de marzo de 2026 y, a 29 de septiembre de 2026, fecha de la última revisión de esta página, el Tribunal de Justicia no había dictado sentencia. No vinculan al Tribunal, aunque suelen tener un peso relevante en su decisión, y pueden invocarse como argumento interpretativo; lo que ya vincula al banco es la devolución inmediata del art. 45 del RDL 19/2018. Cuando el TJUE dicte sentencia, su interpretación de la PSD2 vinculará a los tribunales de todos los Estados miembros, incluida España.

Septiembre de 2026

Sentencia destacada: la Audiencia de Valladolid confirma la condena a Caja Rural de Burgos

La sentencia de la Audiencia Provincial de Valladolid de 3 de julio de 2026 (Roj: SAP VA 972/2026, ECLI:ES:APVA:2026:972, ponente José Ramón Alonso-Mañero Pardal): la clienta recibió mensajes que aparentaban proceder de «Caja Viva, Caja Rural» y, ante un supuesto aviso de seguridad del servicio de atención al cliente, introdujo sus claves en una página que imitaba la de Caja Rural de Burgos. El Juzgado de Primera Instancia n.º 8 de Valladolid condenó a la entidad a abonarle 14.607,97 euros, y esta recurrió alegando negligencia grave de la usuaria y la inexistencia de brechas en sus sistemas.

La Audiencia desestima el recurso con tres argumentos. Dar veracidad a mensajes que suplantan al banco (phishing, spoofing o vishing) no es negligencia grave, porque el defraudador usa su identidad, lo que «razonablemente propicia el error del cliente». El banco no acreditó medidas técnicas y de seguridad suficientes y eficaces para detectar y evitar estos fraudes. Y dos datos de peso probatorio: la entidad ya había indemnizado a la clienta con cargo al seguro de fraude en el límite máximo de 6.000 euros, «admitiendo así en cierto modo su responsabilidad», y el Banco de España informó de que su actuación podría haber quebrantado la normativa de transparencia y protección de la clientela bancaria. Se confirma la condena, con las costas de la segunda instancia.

Audiencia Provincial de Lugo: 185.849,15 euros por un falso soporte de Microsoft

La sentencia de la Audiencia Provincial de Lugo de 13 de mayo de 2026 (Roj: SAP LU 289/2026, ECLI:ES:APLU:2026:289, ponente José Luis Deaño Rodríguez) resuelve el asunto de mayor cuantía del periodo. Un falso empleado de Microsoft obtuvo acceso al ordenador y al móvil de la víctima y sus datos personales y bancarios, y el 11 de agosto de 2021 se movieron más de 190.000 euros, de los que se reclamaron 185.849,15. Abanca invocó la negligencia grave de la parte demandante, que no leyó los once SMS de confirmación remitidos a su teléfono. La Audiencia distingue entre una conducta «poco prudente o descuidada» y la negligencia grave, la única que, en el régimen de responsabilidad cuasi objetiva del RDL 19/2018, exonera a la entidad. La instancia había razonado que, con controles adecuados, el banco habría podido comprobar que retirar tal cantidad en un solo día respondía a un fraude. Recurso desestimado, con costas.

Audiencia Provincial de Ourense: también una sociedad obtiene la devolución

La sentencia de la Audiencia Provincial de Ourense de 1 de junio de 2026 (Roj: SAP OU 431/2026, ECLI:ES:APOU:2026:431, ponente Ángela Galván Gallegos) tiene como demandante a una sociedad mercantil. Su administrador, de viaje en Escocia y con mala cobertura, recibió un SMS fraudulento en el hilo habitual de Abanca y después mensajes de WhatsApp de un falso empleado que se ofreció a «resolver» el supuesto fraude; los estafadores cargaron 14.996,80 euros en la póliza de crédito de la sociedad. La Audiencia desestima el recurso de Abanca, con costas: ante un fraude «muy bien urdido» que aprovecha el canal habitual de la entidad, la conducta del administrador no es gravemente negligente. Hace suyo el criterio de la Audiencia Provincial de Asturias (Sección 4.ª, sentencia 358/2024, de 12 de septiembre): la diligencia del usuario no puede valorarse con el sesgo retrospectivo de quien ya sabe que las operaciones se cometieron con fraude.

Audiencia Provincial de Baleares: el número entrante era el del banco

En la sentencia de la Audiencia Provincial de Baleares de 17 de junio de 2026 (Roj: SAP IB 1662/2026, ECLI:ES:APIB:2026:1662, ponente Víctor Heredia del Real), Cajamar sostenía que la transferencia de 3.339,75 euros debía considerarse autorizada porque la propia clienta la ejecutó, aunque mediara engaño. La sala lo rechaza: en el phishing o el smishing el cliente no actúa con verdadera voluntad de disponer de su dinero, sino creyendo que protege sus fondos, y considerar autorizadas estas operaciones, cuando el número entrante era el de la propia entidad, vaciaría de contenido la protección de la normativa de servicios de pago. Condena confirmada con costas.

Audiencia Provincial de Tarragona: un sistema legal pero ciego a lo sospechoso

La sentencia de la Audiencia Provincial de Tarragona de 25 de marzo de 2026 (Roj: SAP T 460/2026, ECLI:ES:APT:2026:460, ponente Manuel Horacio García Rodríguez) confirma la condena a Deutsche Bank a reintegrar 11.482 euros sustraídos, tras la llamada de quien dijo llamar en nombre del banco (spoofing telefónico, según la sala), en doce operaciones hechas un sábado, en horario inusual y a veces por encima del límite autorizado de la tarjeta. Aunque el sistema «pudiera considerarse formalmente adecuado», no detectó operaciones manifiestamente sospechosas, y las entidades deben detectarlas y reaccionar con rapidez. Cita la STS 571/2025 y la STJUE de 2 de septiembre de 2021 (asunto C-337/20), y no ve dudas de derecho que justifiquen no imponer las costas, porque el banco se beneficia de la banca digital y «normalmente tendrá cubiertos estos riesgos con un seguro o bien con el propio precio de los servicios».

Audiencia Provincial de Pontevedra: diez operaciones en veinte minutos

La sentencia de la Audiencia Provincial de Pontevedra de 13 de marzo de 2026 (Roj: SAP PO 730/2026, ECLI:ES:APPO:2026:730, ponente María Mayo Rodríguez) confirma la condena a Abanca a devolver 4.996,08 euros a una clienta que recibió un SMS en la misma línea de conversación que empleaba la entidad y después una llamada desde un número con prefijo de su provincia; los delincuentes simularon un cargo no autorizado y el ofrecimiento del banco de anularlo. Se autorizaron diez operaciones que vaciaron la cuenta en menos de veinte minutos sin que la entidad activara un sistema de mayor seguridad, y la clienta denunció y avisó al banco en cuanto se supo víctima del fraude. Recurso desestimado con costas.

Tribunal de Instancia de Ribeira: 1.110 euros y un informe del Banco de España

La sentencia 214/2026, de 8 de junio, de la plaza n.º 1 de la Sección Civil y de Instrucción del Tribunal de Instancia de Ribeira (Roj: STICI 569/2026, ECLI:ES:TICI:2026:569, ponente Cristina Cao Romero) condenó a Abanca a devolver 1.110 euros cargados sin consentimiento de la titular en concepto de Revolut. La demandante había obtenido un informe del Banco de España según el cual la actuación del banco sería contraria a las buenas prácticas. La estimación fue íntegra, con costas, y la propia sentencia indica que contra ella no cabe recurso.

Audiencia Provincial de Asturias: negligencia grave por facilitar claves y códigos OTP

La sentencia de la Audiencia Provincial de Asturias de 11 de marzo de 2026 (Roj: SAP O 845/2026, ECLI:ES:APO:2026:845, ponente Gregorio Galindo Alamán) revoca la condena de instancia y absuelve a Triodos Bank de reintegrar una transferencia de 4.999 euros y una compra de 1.533 euros. La clienta no aportó los SMS y correos que decía haber recibido, por lo que apenas había prueba de la forma concreta del fraude, y facilitó al defraudador sus datos personales y secretos, utilizando después los códigos de un solo uso que se le remitieron «con clara indicación de que su uso era para realizar una trasferencia y una compra». Para la sala, ese conjunto es negligencia grave; el caso muestra que la prueba del engaño es decisiva. Aprecia, con todo, «especiales dudas de hecho» y no impone las costas a la consumidora.

Agosto de 2026

Sentencia destacada: estimación parcial frente a BBVA por smishing y vishing combinados (sentencia 114/2026 del Tribunal de Instancia de Arenys de Mar)

La sentencia 114/2026, de 22 de junio de 2026, de la plaza n.º 1 de la Sección Civil y de Instrucción del Tribunal de Instancia de Arenys de Mar (Roj: STICI 663/2026, ECLI:ES:TICI:2026:663, ponente Daniel Benítez Rodríguez) reparte la responsabilidad entre el banco y el cliente. El 6 de marzo de 2025 el demandante, cliente de BBVA, recibió un SMS aparentemente del banco y una llamada de supuestos empleados que le convencieron de que había movimientos fraudulentos en su cuenta. Según la demanda, se contrató a su nombre un préstamo personal de 3.988 euros y una tarjeta de crédito con idéntico límite, dispuesto de inmediato, y se hizo una transferencia de 1.206 euros, con un perjuicio total reclamado de 9.427 euros.

El juzgado da por acreditado el fraude, pero también que el actor, siguiendo las instrucciones recibidas, hizo operaciones «carentes de toda lógica», como contratar un préstamo o incrementar el límite de la tarjeta para proteger su propia cuenta. Con base en el artículo 1103 del Código Civil modera la responsabilidad de la entidad: estima parcialmente la demanda, condena a BBVA a reintegrar 6.598,90 euros más intereses y no impone las costas.

Vishing con suplantación de identidad bancaria (SAP Asturias 355/2026)

La Audiencia Provincial de Asturias, en sentencia de 1 de julio de 2026 (Roj: SAP O 2778/2026, ECLI:ES:APO:2026:2778, ponente Eduardo García Valtueña), confirmó la condena a Bankinter a pagar 3.490 euros en un caso de vishing precedido de un SMS que remitía a una web idéntica a la del banco. Un falso empleado que conocía los datos personales del cliente le dio instrucciones para cancelar operaciones que no había ordenado, y se ejecutaron doce transferencias por HAL-CASH, sistema que el cliente nunca había usado. Son operaciones no autorizadas también las iniciadas con las claves del usuario y confirmadas por SMS si este lo niega, y corresponde al banco acreditar fraude o negligencia grave. Recurso desestimado con costas.

Smishing mediante SMS de bloqueo de tarjeta (SAP Madrid 203/2026)

La Audiencia Provincial de Madrid, en sentencia de 8 de junio de 2026 (Roj: SAP M 7812/2026, ECLI:ES:APM:2026:7812, ponente Isabel Serrano Frías), desestimó el recurso de Ibercaja y confirmó su condena a abonar 69.000 euros, importe de una transferencia no autorizada, tras un SMS sobre el supuesto bloqueo de la tarjeta con un enlace a nombre del banco. Acceder al enlace no es negligencia grave, especialmente cuando la entidad no llevó a cabo actividad alguna al serle comunicadas las operaciones. Los proveedores deben implantar sistemas que detecten operaciones anómalas, y la diligencia exigible a la entidad es la del ordenado y experto comerciante. Costas de la apelación para Ibercaja.

Phishing con Bizum y transferencia (SAP Toledo 271/2026)

La Audiencia Provincial de Toledo, en sentencia de 25 de junio de 2026 (Roj: SAP TO 683/2026, ECLI:ES:APTO:2026:683, ponente Urbano Suárez Sánchez), confirmó la condena a Unicaja a abonar 4.039,95 euros por una transferencia de 2.000 euros, cuatro envíos fraudulentos por Bizum de 499 euros cada uno, dos cargos de 2 euros y una compra de 39,95 euros. Solo las dos primeras operaciones exigieron códigos temporales, sin que el banco estableciese un doble control para las restantes. Aunque la demandante no adoptó precauciones suficientes, Unicaja no probó una negligencia grave de la clienta ni haber establecido controles para detectar accesos sospechosos o evitar operaciones fraudulentas. Recurso desestimado con costas.

Fraude por smishing y Bizum contra Unicaja (SAP León 319/2026)

La Audiencia Provincial de León, en sentencia de 3 de junio de 2026 (Roj: SAP LE 965/2026, ECLI:ES:APLE:2026:965, ponente Rodrigo Marcos Vian), confirmó la condena a Unicaja a reembolsar 3.501 euros (una transferencia de 2.000 euros y cuatro envíos por Bizum por 1.501 euros en total), con costas de la alzada. El fraude quedó acreditado mediante denuncia policial, y no consta que Unicaja facilitara instrucciones concretas y específicas para prevenir el fraude informático en el contrato de tarjeta ni en el de apertura de cuenta.

Insuficiencia de los sistemas de seguridad del banco (SAP Pontevedra 502/2026)

La Audiencia Provincial de Pontevedra, en sentencia de 5 de junio de 2026 (Roj: SAP PO 1616/2026, ECLI:ES:APPO:2026:1616, ponente María Begoña Rodríguez González), confirmó la condena a Abanca, con costas, por la insuficiencia del sistema de seguridad de la banca online. Sin autorización ni conocimiento de la clienta se elevaron los límites en comercios y cajeros hasta 999.999,99 euros y se cargaron, con minutos de diferencia, en una plataforma de compra de criptomonedas y desde una IP, localización y dispositivo distintos del autorizado, operaciones de idéntico importe por 5.541,62 euros. No hubo fraude ni negligencia grave de la demandante, y el servicio fue defectuosamente prestado: no consta que el banco extremara la vigilancia ni que adoptara medidas para detectar operaciones inusuales por su importe y reiteración, ausencia que no se suple con meras campañas informativas.

Sentencia favorable al banco: estafa de inversión en criptomonedas (SAP Asturias 353/2026)

La Audiencia Provincial de Asturias, en sentencia de 8 de julio de 2026 (Roj: SAP O 2754/2026, ECLI:ES:APO:2026:2754, ponente Francisco Tuero Aller), estimó el recurso de Unicaja, revocó la condena de instancia a reintegrar 16.780 euros y desestimó íntegramente la demanda, sin costas en ninguna instancia. Como advierte la Audiencia, no era un phishing o smishing con suplantación del banco, sino lo que el propio demandante describió como una estafa de inversión en criptomonedas. El banco justificó el doble control de refuerzo, con una clave OTP para cada operación, y la sala concluye que no eran operaciones no autorizadas, pues el cliente las autorizó de forma consciente.

Julio de 2026

Sentencia destacada: vishing con suplantación de número de Bankinter (SAP Cantabria 370/2026)

La SAP Cantabria 370/2026 (Roj: SAP S 1199/2026, ECLI:ES:APS:2026:1199, ponente Joaquín Tafur López de Lemus), de 1 de julio, resuelve un caso de vishing en el que los defraudadores suplantaron a la vez el canal de SMS y el servicio telefónico de Bankinter: el demandante recibió un SMS aparentemente del banco y después una llamada desde un número que pertenece a la entidad, y, siguiendo las indicaciones del supuesto operador, facilitó datos que permitieron operaciones no autorizadas por 4.975 euros.

La Audiencia desestima el recurso de Bankinter, con costas. El proveedor no se libera probando que actuó con toda diligencia, sino solo acreditando la negligencia grave del ordenante: su título de imputación no es la negligencia propia, sino la ausencia de negligencia grave del cliente. La suplantación de dos canales del banco reduce la entidad de la posible negligencia del demandante, que no puede tacharse de grave, y era razonable que confiara en su interlocutor porque la llamada procedía de un número de Bankinter.

Ibercaja condenada por cargos fraudulentos con tarjeta de crédito (sentencia 332/2026 del Tribunal de Instancia de Zaragoza)

La sentencia 332/2026, de 8 de julio, de la plaza n.º 8 de la Sección Civil del Tribunal de Instancia de Zaragoza (Roj: STIC 898/2026, ECLI:ES:TIC:2026:898, ponente María Teresa Real Clemente), condena a Ibercaja Banco a abonar 2.316,45 euros por 11 cargos con la tarjeta de crédito del demandante en una sola noche: 2 compras de 250 euros, 9 reintegros en cajeros por 1.800 euros y 16,45 euros de comisiones. Se hicieron desde localidades de Granada y Málaga en las que el titular no estaba, después de un SMS supuestamente de Ibercaja que le instaba a activar un nuevo sistema de seguridad y de que su tarjeta quedara vinculada a Apple Pay. En los cargos no autorizados con tarjeta de crédito o débito no basta con acreditar registro, contabilización y autenticación si el cliente no los consintió: la responsabilidad cuasi objetiva del RDL 19/2018 es de la entidad. Costas para Ibercaja.

Unicaja absuelta por falta de prueba del fraude (SAP Cantabria 371/2026)

La SAP Cantabria 371/2026 (Roj: SAP S 1269/2026, ECLI:ES:APS:2026:1269), de 1 de julio, con ponencia de Joaquín Tafur López de Lemus, confirma la desestimación de la demanda contra Unicaja Banco, en la que se reclamaban 3.257,73 euros. Quien reclama soporta la carga de alegar y probar la falta de autorización: no basta con negarla, sino que debe explicar en qué consistió el fraude, porque de lo contrario cualquiera podría impugnar un pago que ordenó formalmente limitándose a negarlo. La actora «ni explica mínimamente ni justifica debidamente la dinámica de la estafa informática o phishing de la que dice haber sido víctima». Costas de la alzada para los apelantes.

Mayo a julio de 2026

SAP Cantabria 372/2026 (Unicaja): smishing y deficiencias del servicio de atención al cliente

La Sentencia de la Audiencia Provincial de Cantabria de 1 de julio de 2026 (Roj: SAP S 1174/2026, ECLI:ES:APS:2026:1174, ponente Joaquín Tafur López de Lemus) resuelve el caso de una parte demandante, cliente de Unicaja, que recibió en el mismo canal de SMS de la entidad un aviso falso de inicio de sesión desde un nuevo dispositivo, con enlace a una página igual a la del banco. Al introducir la clave que le envió el banco quedó autorizado un nuevo dispositivo desde el que, en apenas once minutos, se ejecutaron seis transferencias no autorizadas por 29.999,97 euros. El servicio de atención al cliente no respondía cuando la víctima intentó contactar durante el ataque; de haber funcionado, se habría percatado del engaño. Tampoco es grave haber autorizado la vinculación del dispositivo, porque todo duró pocos minutos. Recurso desestimado con costas.

SAP Cantabria 410/2026: Unicaja absuelta por facilitar el código OTP por teléfono

La SAP Cantabria 410/2026, de 22 de junio (Roj: SAP S 1099/2026, ECLI:ES:APS:2026:1099, ponente: Bruno Arias Berrioategortua) desestima el recurso de la clienta, con costas, y confirma la absolución de Unicaja en una reclamación de 5.000 euros. Un supuesto empleado le informó por teléfono de un cargo de 5.000 € y dos compras de 500 € y le pidió, para cancelarlos, la clave que recibiría por SMS. El mensaje era meridianamente claro: «UNICAJA BANCO: Vas a TRANSFERIR 5.000,00 € hacia una cuenta UNICAJA finalizada en [número]. Clave de seguridad: [clave]. NO COMPARTAS ESTA CLAVE CON NADIE». Facilitar el código pese a ello es, para la Audiencia, negligencia grave.

SAP Madrid 225/2026 (BBVA): tarjeta de crédito contratada suplantando a la clienta

La Sentencia de la Audiencia Provincial de Madrid de 18 de junio de 2026 (Roj: SAP M 8099/2026, ECLI:ES:APM:2026:8099, ponente Amalia de Santísima Trinidad Sanz Franco) estima el recurso de la clienta, revoca la desestimación de instancia y condena a BBVA a abonarle 7.000 euros, más intereses y las costas de la primera instancia. Tras un SMS que simulaba proceder de BBVA, se contrató una tarjeta de crédito suplantando su identidad y se hicieron doce cargos de 500 euros y uno de 1.000 euros. La responsabilidad del proveedor es cuasi objetiva y solo cede ante la culpa grave del ordenante; la Audiencia resta valor al perito del banco, por su relación profesional con la entidad, y no ve negligencia grave en la custodia de las claves ante un fraude tan bien articulado.

SAP Barcelona 471/2026 (Bankinter): smishing y vishing combinados

La Sentencia de la Audiencia Provincial de Barcelona de 17 de junio de 2026 (Roj: SAP B 4882/2026, ECLI:ES:APB:2026:4882, ponente Marta Dolores del Valle García) resuelve el caso de una clienta de Bankinter que, tras un SMS por el canal habitual, dio sus credenciales en una página falsa del banco y recibió la llamada de un falso operador; se cargaron en su tarjeta pagos de 2.995 y 1.480 euros. La Audiencia desestima el recurso, con costas: era una «estratagema y escenario bien construidos» en los que era fácil caer sin conocimientos avanzados, y ni siquiera haber dado al tercero el código para cambiar el límite de las tarjetas acredita negligencia grave; revela, más bien, el complejo mecanismo de los delincuentes, que la entidad tampoco detectó.

STS 787/2026 (Banco Santander): concurrencia de culpas en un fraude por email spoofing corporativo

La Sentencia del Tribunal Supremo de 25 de mayo de 2026 (Roj: STS 2338/2026, ECLI:ES:TS:2026:2338, recurso 6306/2021, ponente Antonio García Martínez) enfrenta a Privalia, plataforma de venta de moda online, con Banco Santander por un fraude mediante email spoofing (Privalia reclamaba 1.566.951,50 euros). Una empleada de tesorería, engañada por la suplantación de uno de los consejeros y cofundadores, ordenó por correo electrónico hasta siete transferencias a cuentas de sociedades desconocidas en China. El banco las procesó pese a un protocolo de 17 de diciembre de 2014, comunicado por correo, según el cual esas órdenes solo podían dirigirse a cuentas del grupo Privalia y cualquier otra debía denegarse.

El Supremo desestima los recursos de ambas partes y confirma la sentencia de la Sección 11.ª de la Audiencia Provincial de Barcelona (n.º 292/2021, de 30 de abril), que, en el marco de la responsabilidad contractual (artículos 1101 y 1258 del Código Civil), había apreciado una concurrencia de culpas con relevancia causal equivalente: el banco no se ajustó al protocolo ni desplegó las cautelas exigibles, y Privalia dio instrucciones internas insuficientes a su empleada y ejecutó órdenes manifiestamente anómalas sin comprobaciones mínimas. La mayor cualificación profesional del banco no absorbe automáticamente la culpa del cliente: el apartamiento de las instrucciones del comitente (artículo 254 del Código de Comercio) obliga a ponderar la incidencia causal de ambas conductas.

Sentencia del Tribunal de Instancia de Barcelona 233/2026: Bankinter condenada porque debió detectar la IP inusual

La sentencia 233/2026, de 22 de mayo, de la plaza n.º 22 de la Sección Civil del Tribunal de Instancia de Barcelona (Roj: STIC 652/2026, ECLI:ES:TIC:2026:652; ponente: Gemma Vives Martínez) estima íntegramente la demanda de una sociedad y condena a Bankinter a devolver 1.320 euros cargados con su tarjeta sin consentimiento, con costas. Lo determinante es la monitorización de IP: el banco no demostró que la operación se hiciera desde la IP habitual del cliente, «una clara señal para que salten las alarmas de la entidad bancaria antes de aceptar el movimiento bancario». Los delincuentes ya conocen todos sus datos, lo que explica la confianza del cliente: «Nada más le es exigible al cliente. Hablamos de sistemas informáticos sofisticados que se manejan por delincuentes cibernéticos».

SAP Asturias 331/2026: ING condenada a devolver 35.550 € por vishing con spoofing

La SAP Asturias 331/2026, de 21 de mayo (Sección 1.ª; Roj: SAP O 1973/2026, ECLI:ES:APO:2026:1973, ponente: Marta Huerta Novoa) confirma la sentencia del Juzgado de Grado que condenó a ING a devolver 35.550 euros, más intereses legales desde la reclamación extrajudicial, con las costas de la apelación. La parte demandante recibió una llamada desde un número de su entidad y dos SMS desde el canal de ING, y comunicó los hechos en cuanto se percató del fraude: «la única negligencia imputable a la actora radica en haber confiado en la legitimidad de una llamada y 2 SMS que le fueron remitidos, lo que no puede ser considerado constitutivo de negligencia grave».

SAP Bizkaia 264/2026: transferencia autorizada con IBAN alterado, el banco no responde

La SAP Bizkaia 264/2026, de 21 de mayo (Roj: SAP BI 1400/2026, ECLI:ES:APBI:2026:1400, ponente: Izaskun Nazara Lacambra) estima el recurso de Kutxabank, revoca la condena y desestima la demanda en un fraude por email corporativo (Business Email Compromise), sin costas en ninguna instancia. Terceros interceptaron un correo interno de la sociedad demandante y alteraron el IBAN de la factura de un proveedor, y una administradora ordenó la transferencia desde la banca electrónica. Era una transferencia autorizada y reconocida, con la brecha en el ámbito interno de la empresa, y conforme al artículo 59 del RDL 19/2018 la orden ejecutada según el identificador único (IBAN) facilitado por el usuario se considera correctamente ejecutada.

SAP A Coruña 304/2026 (Abanca): cuatro códigos OTP facilitados sin leer las advertencias

La Sentencia de la Audiencia Provincial de A Coruña de 20 de mayo de 2026 (Roj: SAP C 1467/2026, ECLI:ES:APC:2026:1467, ponente Rafael Jesús Fernández-Porto García), dictada por un solo magistrado, marca los límites de la protección. El cliente de Abanca pinchó un enlace, introdujo sus datos en una página aparentemente auténtica y, en veinte minutos, facilitó a quien le llamaba cuatro códigos de un solo uso sin leer los SMS que los contenían, que identificaban con claridad las operaciones, como una transferencia de 1.390 euros. La Audiencia revoca la condena de instancia (3.030,50 euros) y desestima la demanda, con las costas de la primera instancia para el cliente y sin costas en la alzada: facilitar hasta cuatro veces los códigos, «pese a que el texto de los SMS no deja lugar a duda alguna», es negligencia grave en el sentido de los artículos 41 y 46 del Real Decreto-ley 19/2018.

SAP Huesca 270/2026 y 275/2026 (Ibercaja): controles insuficientes

Las Sentencias de la Audiencia Provincial de Huesca de 13 de mayo de 2026 (sentencias 270/2026, Roj: SAP HU 347/2026, ECLI:ES:APHU:2026:347, y 275/2026, Roj: SAP HU 356/2026, ECLI:ES:APHU:2026:356), ambas con ponencia de Mariano Eduardo Sampietro Román, resuelven dos casos contra Ibercaja: siete transferencias de 990 euros y un Bizum de 500 euros, en el primero, y una transferencia de 13.000 euros, en el segundo, tras un SMS de 3 de marzo de 2021 sobre un paquete que llevó a descargar una falsa aplicación de FedEx. Ambas desestiman los recursos del banco, con costas, porque no basta con autenticar, registrar y contabilizar la operación: el banco debe asegurarse de su legitimidad y no puede autorizar transferencias solo porque se acceda con las claves y se introduzca el código del SMS. En la segunda, la Sala considera insuficientes las advertencias genéricas de la página del banco.

SAP Barcelona 359/2026 (Banco Santander): cargos con tarjeta tras ingeniería social

La Sentencia de la Audiencia Provincial de Barcelona de 6 de mayo de 2026 (Roj: SAP B 3530/2026, ECLI:ES:APB:2026:3530, ponente Gonzalo Ferrer Amigo) resuelve un phishing por ingeniería social contra una clienta de Banco Santander: cinco operaciones con su tarjeta Visa, que el defraudador había enrolado en Apple Pay en un móvil ajeno, por 4.861,80 euros que, con intereses y comisiones, le causaron un perjuicio de 5.046,77 euros, importe de la condena de instancia, que no se recurrió. La Audiencia desestima el recurso del banco, con costas: no se acreditó infracción de la clienta en la custodia de sus datos, y el banco no probó la ausencia de un fallo técnico o de control, pese a que las operaciones fueron continuadas, de importe elevado y fuera de la localidad de residencia de la clienta.

Sentencia del Tribunal de Instancia de Barcelona 204/2026 (WiZink): vinculación de tarjeta a Google Pay

La sentencia 204/2026, de 5 de mayo, de la plaza n.º 29 de la Sección Civil del Tribunal de Instancia de Barcelona (Roj: STIC 647/2026, ECLI:ES:TIC:2026:647, ponente Pedro Rebollo Díaz) resuelve un caso en el que la víctima facilitó a un tercero el código OTP recibido por SMS, lo que permitió vincular su tarjeta a Google Pay y retirar en cajero, con PIN, 300, 600 y 100 euros; la demanda contra WiZink reclamaba 1.022,50 euros. El juzgado la desestima, con costas para el demandante, y aprecia negligencia grave porque los propios SMS advertían: «Por tu seguridad, nunca lo compartas».

Sentencias por entidad

Resoluciones citadas, agrupadas por banco; las analizadas en las secciones mensuales se resumen en una línea.

BBVA

Los fraudes que suplantan a BBVA usan SMS en el mismo hilo que los legítimos, llamadas que muestran el número oficial del banco (caller ID spoofing) y webs que imitan bbva.es. Sus defensas habituales (claves facilitadas, sistemas que funcionaron, doble factor, campañas de seguridad) chocan con el art. 44 del RDL 19/2018 y la STS 571/2025, aunque ignorar durante días las alertas del banco se ha considerado imprudencia grave.

• SAP Barcelona (Sección 14.ª) de 9 de marzo de 2026, sentencia 140/2026 (ROJ SAP B 2039/2026, ECLI:ES:APB:2026:2039): da la razón a BBVA en compras por 13.904,50 € tras un SMS burdo; el cliente desatendió del 2 al 12 de diciembre de 2021 los avisos del banco.
• SAP Valencia de 14 de abril de 2026 (ROJ SAP V 699/2026): revoca la sentencia del Juzgado n.º 1 de Alzira y condena a pagar 4.984 € a una sociedad; no tener antivirus no es por sí solo negligencia grave.
• SAP Barcelona de 26 de junio de 2025 (ROJ SAP B 7288/2025): revoca y condena a pagar 3.649,50 € por compras con Google Pay; el gestor sospechó el fraude y no revisó la vinculación de la tarjeta.
• SAP Madrid de 18 de junio de 2026 (Roj: SAP M 8099/2026): 7.000 € por una tarjeta contratada suplantando a la clienta («Mayo a julio de 2026»).
• Sentencia 114/2026 del Tribunal de Instancia de Arenys de Mar (Roj: STICI 663/2026): estimación parcial por 6.598,90 € («Agosto de 2026»).

Banco Santander

Los fraudes contra clientes de Santander combinan SMS en el hilo oficial, llamadas desde su número de atención al cliente suplantado y correos que imitan sus comunicaciones. Santander suele alegar negligencia grave o la correcta autenticación de las operaciones, que por sí sola no basta.

• STS 787/2026, de 25 de mayo (Roj: STS 2338/2026): concurrencia de culpas con Privalia («Mayo a julio de 2026»).
• SAP Barcelona de 6 de mayo de 2026 (Roj: SAP B 3530/2026): confirma la condena por cargos con tarjeta («Mayo a julio de 2026»).
• SAP Madrid 15/2026, de 21 de enero de 2026 (Roj: SAP M 2145/2026): aplica la STS 571/2025 a un fraude por correo electrónico y desestima el recurso del banco.
• SAP Murcia de 26 de marzo de 2026 (ROJ SAP MU 841/2026, ECLI:ES:APMU:2026:841): condena a pagar los 1.200 € que faltaban de 4.168 € en compras tras un correo de phishing creíble para un inexperto.
• SAP Málaga de 13 de mayo de 2025 (ROJ SAP MA 2383/2025, ECLI:ES:APMA:2025:2383): confirma la condena a pagar 15.813,80 €; el acceso de un tercero a las claves no supone por sí mismo negligencia.
• SAP León de 14 de enero de 2025 (ROJ SAP LE 46/2025, ECLI:ES:APLE:2025:46): revoca la absolución basada en la correcta autenticación y condena a devolver 4.507,87 € más intereses y costas.

CaixaBank

En las reclamaciones contra CaixaBank aparecen SMS en el hilo habitual con enlace a una copia de CaixaBank Now, llamadas identificadas como de CaixaBank, transferencias internacionales atípicas y préstamos a nombre de la víctima. Además de la negligencia grave, ha alegado falta de legitimación pasiva, atribuyendo el servicio a su filial CaixaBank Payments & Consumer.

• SAP Lleida de 16 de mayo de 2025 (ROJ SAP L 379/2025, ECLI:ES:APL:2025:379): confirma la condena a pagar 38.500 € más intereses por transferencias internacionales; «el engaño típico de la estafa excluye la negligencia grave».
• SAP Cádiz de 20 de febrero de 2026 (ROJ SAP CA 483/2026, ECLI:ES:APCA:2026:483): revoca y condena a devolver 14.920 € a una pequeña empresa por el «carácter estrambótico de las transferencias realizadas» a Holanda y Bélgica.
• SAP Barcelona de 12 de septiembre de 2024 (ROJ SAP B 11376/2024, ECLI:ES:APB:2024:11376): afirma la legitimación pasiva de CaixaBank, S.A. frente a una clienta de Imagin y la condena a pagar 4.139 €.

ING

En las sentencias contra ING aparecen SMS en el hilo del banco, llamadas que el móvil identifica como de su atención al cliente y la activación fraudulenta de un nuevo dispositivo en la Validación Móvil, con códigos obtenidos mediante ingeniería social. ING alegó negligencia grave en las tres sentencias reseñadas y en ninguna prosperó.

• SAP Asturias de 21 de mayo de 2026 (ROJ SAP O 1973/2026): confirma la condena a devolver 35.550 € («Mayo a julio de 2026»).
• SAP Asturias de 12 de noviembre de 2025 (ROJ SAP O 4029/2025, ECLI:ES:APO:2025:4029): confirma la condena a devolver 4.910 € a una clienta que, tras una llamada desde el teléfono del banco, hizo un traspaso y elevó el límite de su tarjeta.
• SAP Zamora de 4 de septiembre de 2024 (ROJ SAP ZA 337/2024, ECLI:ES:APZA:2024:337): confirma la condena a devolver 19.650 € por transferencias tras activarse la Validación Móvil en un dispositivo ajeno; la clienta avisó a los pocos minutos.

Unicaja

Contra clientes de Unicaja se repiten los SMS en el canal oficial y las llamadas desde teléfonos de la entidad, a veces los que figuran en el contrato. Su defensa habitual, que el cliente debió leer que los SMS servían para «autorizar» y no para «cancelar», no prosperó en Málaga, pero sí en Cantabria ante un SMS meridianamente claro. Los antiguos clientes de Liberbank reclaman a Unicaja, que asumió sus obligaciones tras la fusión.

• SAP Toledo de 25 de junio de 2026 (Roj: SAP TO 683/2026): 4.039,95 € («Agosto de 2026»).
• SAP León de 3 de junio de 2026 (Roj: SAP LE 965/2026): 3.501 € («Agosto de 2026»).
• SAP Asturias de 8 de julio de 2026 (Roj: SAP O 2754/2026): absuelve en una estafa de inversión en criptomonedas («Agosto de 2026»).
• SAP Cantabria 371/2026, de 1 de julio (Roj: SAP S 1269/2026): confirma la desestimación porque no se explicó ni acreditó la dinámica del fraude («Julio de 2026»).
• SAP Cantabria de 1 de julio de 2026 (Roj: SAP S 1174/2026): 29.999,97 € en seis transferencias («Mayo a julio de 2026»).
• SAP Cantabria 410/2026, de 22 de junio (Roj: SAP S 1099/2026): confirma la absolución porque la clienta facilitó la clave de un SMS inequívoco («Mayo a julio de 2026»).
• SAP Jaén 203/2026, de 13 de febrero (ROJ SAP J 290/2026, ECLI:ES:APJ:2026:290): confirma la condena a devolver 4.000 € tras SMS y llamada de un falso empleado; un «error que no puede entenderse que fuera fácilmente evitable».
• SAP Jaén 194/2026, de 12 de febrero (ROJ SAP J 317/2026, ECLI:ES:APJ:2026:317): confirma la condena a devolver 1.400 € por una transferencia ejecutada aunque el cliente, que sospechó, no facilitó el código.
• SAP Málaga 243/2026, de 19 de marzo (ROJ SAP MA 1111/2026, ECLI:ES:APMA:2026:1111): confirma la condena pese a la alegación de que el cliente no leyó los SMS.
• SAP Almería 1055/2025, de 25 de noviembre (ROJ SAP AL 1914/2025, ECLI:ES:APAL:2025:1914): revoca la absolución y condena a pagar 4.000 €; la llamada procedía de un teléfono que figuraba en el contrato.
• SAP Madrid 457/2025, de 18 de diciembre de 2025 (Roj: SAP M 17262/2025): aplica la STS 571/2025 en un smishing y desestima el recurso del banco.
• SAP Zaragoza de 12 de septiembre de 2024 (ROJ SAP Z 2804/2024): rechaza el reparto 80/20 y eleva la condena a 4.999,99 €; la negligencia relevante es la que surge por iniciativa del usuario.

Banco Sabadell

El patrón descrito en Girona combina un SMS de «BANCO DE SABADELL» que alerta de una transferencia de alto importe, la llamada de una supuesta gestora desde el teléfono de asistencia del banco (963 085 000, según la sentencia) y la indicación de mover los fondos a una «cuenta segura» con el código de la entidad. Sabadell alegó negligencia grave, que la clienta ordenó la transferencia y falta de legitimación pasiva, atribuyendo la responsabilidad a la compañía telefónica.

• SAP Girona de 24 de marzo de 2026 (ROJ SAP GI 600/2026, ECLI:ES:APGI:2026:600): confirma la condena a devolver 11.142,95 € y rechaza ambas defensas.

Bankinter

Además de SMS, correos, llamadas de un falso departamento de seguridad y códigos QR que llevan a una web falsa, las sentencias sobre Bankinter recogen una ventana emergente dentro de su app. Los tribunales han valorado los canales aparentes del banco, la falta de detección de operaciones anómalas y la sofisticación del engaño; en Cádiz, la respuesta del banco a la reclamación admitió que la llamada procedía de un número oficial.

• SAP Asturias de 1 de julio de 2026 (Roj: SAP O 2778/2026): 3.490 € por transferencias HAL-CASH («Agosto de 2026»).
• SAP Cantabria 370/2026, de 1 de julio (Roj: SAP S 1199/2026): 4.975 € tras SMS y llamada desde un número del banco («Julio de 2026»).
• SAP Barcelona de 17 de junio de 2026 (Roj: SAP B 4882/2026): pagos con tarjeta de 2.995 y 1.480 € («Mayo a julio de 2026»).
• Sentencia 233/2026 del Tribunal de Instancia de Barcelona, de 22 de mayo (Roj: STIC 652/2026): 1.320 € a una sociedad por no acreditar la IP habitual («Mayo a julio de 2026»).
• SAP Cádiz de 13 de mayo de 2025 (ROJ: SAP CA 1288/2025): confirma la condena a devolver 5.081,01 € tras un SMS en el canal habitual y una llamada con «Bankinter» en pantalla.
• SAP Cádiz de 7 de abril de 2025 (ROJ: SAP CA 763/2025): confirma la condena a devolver 4.092,80 € cargados tras una ventana emergente en la app que pidió los datos de la tarjeta.
• SAP Segovia de 25 de noviembre de 2025 (ROJ: SAP SG 462/2025): confirma la condena a devolver 3.523,93 € por smishing y vishing combinados.

Ibercaja

Los fraudes contra clientes de Ibercaja siguen el esquema de SMS o correo con enlace a una réplica de la web y llamada de un falso departamento de seguridad. Sus defensas (autenticación correcta, cláusula de exoneración) no han bastado, y los tribunales han valorado que sus sistemas no detectaran operaciones fuera de lo ordinario.

• STS 571/2025, de 9 de abril (ROJ: STS 1671/2025), que confirma la SAP Zaragoza 996/2022 (ROJ SAP Z 1992/2022): SIM swapping con 15 operaciones («La doctrina de referencia»).
• SAP Madrid de 8 de junio de 2026 (Roj: SAP M 7812/2026): 69.000 € por smishing («Agosto de 2026»).
• Sentencia 332/2026 del Tribunal de Instancia de Zaragoza (Roj: STIC 898/2026): 2.316,45 € por cargos con tarjeta vinculada a Apple Pay («Julio de 2026»).
• SAP Huesca de 13 de mayo de 2026 (Roj: SAP HU 347/2026) y SAP Huesca 275/2026 (Roj: SAP HU 356/2026): condenas por transferencias y Bizum, una de ellas de 13.000 € («Mayo a julio de 2026»).
• SAP Guadalajara 78/2025, de 12 de marzo (ROJ SAP GU 111/2025): confirma la condena; el banco no probó la negligencia grave ni mecanismos de autenticación y supervisión suficientes, como «la tecnología antiphishing precisa para detectar las páginas o enlaces fraudulentos».

Kutxabank

Las estafas contra clientes de Kutxabank combinan SMS que suplantan a la entidad, correos y llamadas de un falso operador que pide los códigos. Su defensa, que el cliente facilitó claves o códigos, no ha prosperado ante engaños combinados u operaciones atípicas. Kutxabank y Laboral Kutxa son entidades distintas.

• SAP Bizkaia de 21 de mayo de 2026 (Roj: SAP BI 1400/2026): da la razón al banco en un pago a un IBAN alterado («Mayo a julio de 2026»).
• SAP Álava 228/2025, de 18 de febrero (ROJ SAP VI 241/2025): confirma la condena a devolver 18.055 €; si el banco no impide intervenciones no deseadas en la banca electrónica, «no puede pretender que la víctima de esta estafa sea el único responsable».
• SAP Bizkaia 288/2025, de 30 de abril (ROJ SAP BI 1118/2025): de 21.514,99 € en ocho operaciones atípicas, el banco devolvió 11.596,99 €; confirma la condena por los 9.918 € restantes.

Abanca

Las sentencias sobre Abanca muestran engaños con apariencia de oficialidad: SMS en el hilo del banco y llamadas desde números de Abanca o de la sucursal. Abanca ha alegado negligencia grave, una mayor diligencia exigible a una administradora y concurrencia de culpas; entre las resoluciones recogidas, solo prosperó la primera cuando el cliente facilitó cuatro códigos sin leer unos SMS inequívocos.

• SAP Lugo de 13 de mayo de 2026 (Roj: SAP LU 289/2026): 185.849,15 € («Septiembre de 2026»).
• SAP Ourense de 1 de junio de 2026 (Roj: SAP OU 431/2026): 14.996,80 € a una sociedad («Septiembre de 2026»).
• SAP Pontevedra de 13 de marzo de 2026 (Roj: SAP PO 730/2026): 4.996,08 € («Septiembre de 2026»).
• Sentencia 214/2026 del Tribunal de Instancia de Ribeira (Roj: STICI 569/2026): 1.110 € («Septiembre de 2026»).
• SAP Pontevedra de 5 de junio de 2026 (Roj: SAP PO 1616/2026): 5.541,62 € en compras de criptomonedas («Agosto de 2026»).
• SAP A Coruña de 20 de mayo de 2026 (Roj: SAP C 1467/2026): absuelve por cuatro códigos OTP facilitados («Mayo a julio de 2026»).
• SAP Pontevedra de 20 de abril de 2026 (ROJ SAP PO 1142/2026): confirma la condena a pagar 26.242,98 € tras una llamada desde un número oficial de Abanca; «es notorio que estamos ante un tipo de fraude muy específico del que es fácil ser víctima».
• SAP Ourense de 28 de abril de 2026 (ROJ SAP OU 379/2026): confirma la condena por 11.658,39 € en operaciones atípicas; no exige más diligencia a la administradora de una sociedad y, con cita de una sentencia suya de 26 de mayo de 2025, recuerda que la negligencia grave «linda con el dolo».
• SAP A Coruña de 22 de mayo de 2024 (ROJ SAP C 1289/2024): rechaza la concurrencia de culpas en compras en Binance de 6.000 € y 5.990 €; sin negligencia grave, el daño lo soporta solo la entidad.

Caja Rural

• SAP Valladolid de 3 de julio de 2026 (Roj: SAP VA 972/2026): confirma la condena a Caja Rural de Burgos por 14.607,97 € («Septiembre de 2026»).
• SAP Madrid 133/2026, de 17 de abril de 2026 (Roj: SAP M 4955/2026): aplica la STS 571/2025 en un smishing contra Caja Rural de Jaén, Barcelona y Madrid y desestima su recurso.

Triodos Bank

• SAP Asturias de 11 de marzo de 2026 (Roj: SAP O 845/2026): absuelve por falta de prueba del engaño y uso de los códigos («Septiembre de 2026»).
• SAP Navarra de 6 de febrero de 2026 (ROJ SAP NA 246/2026): confirma la condena a devolver 12.260 € a una clienta que facilitó unos dígitos de seguridad a quien la llamó desde un número vinculado a la entidad.

WiZink

• Sentencia 204/2026 del Tribunal de Instancia de Barcelona (Roj: STIC 647/2026): desestima la demanda por la advertencia expresa de no compartir el código («Mayo a julio de 2026»).

Cajamar

• SAP Baleares de 17 de junio de 2026 (Roj: SAP IB 1662/2026): 3.339,75 €; no es autorizada la transferencia ejecutada por la clienta engañada («Septiembre de 2026»).

Deutsche Bank

• SAP Tarragona de 25 de marzo de 2026 (Roj: SAP T 460/2026): 11.482 € por doce operaciones que el banco no detectó («Septiembre de 2026»).

Caja Laboral Popular (Laboral Kutxa)

• SAP Álava 701/2025, de 25 de junio (ROJ SAP VI 784/2025): revoca la absolución y condena a pagar 22.230,45 € por un préstamo online y siete transferencias tras instalarse una aplicación de acceso remoto; la entidad «sí omitió controles o comprobación más razonables y adaptadas al perfil del cliente».

Qué muestran estas sentencias en conjunto

En las resoluciones que condenan al banco, el debate se centra en dos cuestiones: si la entidad ha acreditado de verdad una negligencia grave del cliente y si sus sistemas deberían haber detectado operaciones anómalas. Pesan que el engaño llegara por canales aparentes del banco (su hilo de SMS, su número, su app), que las operaciones fueran atípicas por número, importe, horario o destino y la rapidez con la que el cliente avisó y denunció.

Las que dan la razón al banco, total o parcialmente, se apoyan en hechos muy concretos: haber facilitado códigos de confirmación pese a advertencias claras, no haber explicado ni acreditado la dinámica del fraude, haber autorizado conscientemente la operación, desatender durante días las alertas del banco o realizar operaciones sin lógica siguiendo las instrucciones del estafador. El reparto de responsabilidad tampoco es uniforme: las Audiencias de A Coruña y Zaragoza lo rechazaron cuando la negligencia del cliente no era grave, mientras que el Tribunal de Instancia de Arenys de Mar moderó la condena con base en el artículo 1103 del Código Civil y el Supremo apreció concurrencia de culpas en el caso de Privalia. Cada caso depende de la prueba disponible.

Si ha sufrido un fraude de este tipo, puede preparar la reclamación con el generador de reclamación por phishing bancario o solicitar al despacho una consulta preliminar sobre su caso.

Valoración del despacho

El resultado depende mucho de los hechos concretos y de cómo se prueban. El régimen legal es favorable al cliente, porque el banco debe probar la negligencia grave, pero no es automático. El punto de partida es reconstruir con precisión cómo se produjo el fraude: no es lo mismo que un tercero opere con credenciales obtenidas mediante engaño que el propio cliente, engañado, ordene una transferencia o un Bizum, porque entonces la operación se considera en principio autorizada y la reclamación es más difícil. La STS 571/2025 es muy útil, pero conviene citarla con precisión: es un SIM swapping con avisos previos del cliente y operaciones claramente anómalas por número, importe y horario, elementos que deben trasladarse al caso concreto.

El despacho recomienda comunicar el fraude al banco por escrito el mismo día y denunciar; guardar capturas del hilo completo de SMS, el registro de llamadas con el número entrante y la hora y los avisos del propio banco; comprobar si el número que llamó figura en la web oficial o en el contrato; pedir por escrito los registros de autenticación de cada operación, las altas de dispositivos, los cambios de límites y las alertas enviadas, y reunir los extractos de meses anteriores para acreditar que las operaciones no encajaban en el perfil habitual. Conviene revisar uno por uno los SMS con códigos del banco: si describían con claridad cada operación, algunas Audiencias han apreciado negligencia grave, aunque otras no. Si la cuenta de destino está en la misma entidad, hay que pedir de inmediato su bloqueo.

Antes de demandar hay que identificar bien a la entidad responsable (sociedad del grupo, entidad absorbida o de nombre parecido), no dar por cerrado el asunto tras una devolución parcial y cumplir el intento previo de solución de controversias de la LO 1/2025. Una desestimación en primera instancia basada solo en la correcta autenticación puede revisarse en apelación. Cada asunto exige un análisis individual y ningún profesional puede garantizar el resultado.

Preguntas frecuentes

¿Qué plazos hay para reclamar al banco?

La operación no autorizada debe comunicarse sin demora injustificada (art. 41.b del RDL 19/2018) y, como máximo, dentro de los 13 meses siguientes al adeudo (art. 43). No es un plazo de prescripción, sino el límite para obtener la rectificación, y no se aplica si el banco no proporcionó la información sobre la operación. La acción judicial de responsabilidad contractual se ha considerado sujeta al plazo general de 5 años del art. 1964.2 del Código Civil (así, la SAP Cáceres de 23 de marzo de 2026).

¿Cuánto tiene el banco para responder y qué ocurre si rechaza la reclamación?

En servicios de pago, el servicio de atención al cliente debe responder en 15 días hábiles, ampliables hasta un mes solo en situaciones excepcionales y con respuesta provisional motivada (art. 69 del RDL 19/2018). Si deniega la reclamación o no la resuelve, puede acudirse al Banco de España acreditando la denegación o que ha pasado un mes sin respuesta (art. 30 de la Ley 44/2002). Es una vía opcional; su informe no es vinculante y debe emitirse en un máximo de 90 días naturales (art. 30.3.b), pero uno favorable puede aportarse en el juicio, como ocurrió en Valladolid y Ribeira.

¿Qué se puede recuperar y quién paga las costas?

El importe de las operaciones no autorizadas más los intereses que fije la sentencia (en los casos citados, desde la demanda, desde las operaciones o desde la reclamación extrajudicial). Salvo fraude o negligencia grave, con un instrumento de pago extraviado, sustraído o apropiado indebidamente el cliente soporta como máximo 50 euros, con excepciones (art. 46.1); sin autenticación reforzada, solo responde si actuó de forma fraudulenta (art. 46.2). Si la demanda se estima íntegramente, las costas se imponen como regla general al banco (art. 394 LEC), salvo serias dudas de hecho o de derecho, con el límite de un tercio de la cuantía para los honorarios de abogado (art. 394.3 LEC).

¿Hace falta abogado para reclamar judicialmente?

En los juicios verbales de hasta 2.000 euros no es obligatorio abogado ni procurador (arts. 23 y 31 LEC); por encima, sí. En los asuntos de hasta 2.000 euros, esos honorarios solo se incluyen en las costas en los supuestos del art. 32.5 LEC, entre ellos cuando el consumidor reclamó antes extrajudicialmente.

¿Y si fui yo quien ordenó la transferencia, engañado?

En principio la operación se considera autorizada. Aun así, la Audiencia de Baleares rechazó que lo estuviera la transferencia que hizo la clienta creyendo proteger sus fondos tras una llamada desde el número del banco, y la de Girona condenó a Sabadell en un caso de «cuenta segura»; en cambio, no hubo responsabilidad del banco en una estafa de inversión en criptomonedas ni en un pago a un IBAN alterado por terceros. Véase también la guía para recuperar el dinero de una transferencia bancaria estafada.