Desistimiento del banco en casación tras un fallo demoledor sobre fraude electrónico: un aviso serio sobre la diligencia debida en la era digital
Desistimiento del banco en casación tras un fallo demoledor sobre fraude electrónico: un aviso serio sobre la diligencia debida en la era digital
Por Santiago Carretero Sánchez – Profesor Titular de Filosofía del Derecho,
Abogado
1. Una retirada con elocuencia procesal
El pasado 9 de mayo de 2025, una conocida entidad
bancaria presentó escrito de desistimiento del recurso de casación
interpuesto en un proceso judicial sobre fraude digital en el que se le
reclamaban 63.981,82 euros sustraídos mediante operaciones bancarias no
autorizadas. El desistimiento, admitido por decreto el 14 de mayo con condena
en costas, pone fin a un proceso que, más allá de su resultado, sienta un
precedente crucial en materia de responsabilidad de las entidades financieras
ante ciberfraudes.
El detonante fue la sentencia 571/2025 del Tribunal
Supremo, dictada apenas un mes antes, que resolvía un supuesto idéntico también
dirigido por quien suscribe esta entrada. La resolución suprema consolidó el
criterio de que la carga probatoria recae sobre la entidad bancaria en
los supuestos de fraude electrónico, especialmente cuando concurren elementos
de ingeniería social, suplantación de identidad y operativas manifiestamente
anómalas.
2. El fraude: indicios claros, reacción
tardía
Los hechos probados en el proceso revelan que los días
12 y 13 de abril de 2021 se realizaron 16 transferencias y múltiples
operaciones Bizum desde las cuentas de dos clientes (padre e hija), por
importes elevados y a beneficiarios sin vínculo alguno, con nombres genéricos
como “Juanjo” o “Raúl”. El titular principal tenía 83 años y ningún historial
de operaciones similares.
El banco no detectó ni bloqueó las
transferencias pese a su perfil de alto riesgo. No activó medidas adicionales
de autenticación ni confirmó la veracidad de las órdenes. La investigación
reveló que se había producido previamente un duplicado de tarjeta SIM, lo que
permitió el acceso ilegítimo a los sistemas.
3. Sentencia de instancia: incumplimiento
grave del deber de diligencia
El Juzgado de Primera Instancia declaró que la entidad
había incurrido en negligencia grave al:
- No
detectar transacciones claramente incompatibles con el perfil del cliente.
- No
actuar ante la alerta del duplicado de SIM.
- No
colaborar diligentemente con las autoridades tras la denuncia.
- No
bloquear las cuentas destinatarias de los fondos hasta un mes
después de la solicitud policial.
4. Reproche de la Audiencia: quebranto
sistémico de obligaciones legales
La Audiencia Provincial de Zaragoza, en su sentencia
55/2023, confirmó íntegramente la condena. Señaló que la entidad no solo
vulneró sus obligaciones contractuales, sino que incumplió el marco legal de
servicios de pago y prevención del blanqueo. Subrayó que el sistema bancario,
pese a sus beneficios, carece de canales de autenticación suficientemente
robustos para garantizar la seguridad del usuario medio.
También se destacó la existencia de una investigación
penal sobre una red criminal de estafas, y la pasividad del banco frente
a las indicaciones de la Guardia Civil, que solicitó bloquear cuentas el 14 de
abril, acción que no se ejecutó hasta el 12 de mayo.
5. Estrategia fallida del banco:
formalismo contractual vs. deber de seguridad
En su recurso de casación, la entidad alegó que las
operaciones habían sido autorizadas conforme al contrato y la autenticación
pactada, eludiendo así su responsabilidad.
No obstante, en nuestra oposición se expuso que el
Real Decreto-ley 19/2018 y la Directiva PSD2 trasladan al banco la carga de
acreditar que el sistema era seguro y que el usuario no fue víctima de
manipulación. No basta con invocar cláusulas predispuestas: la diligencia
técnica, jurídica y operativa es insustituible.
6. La STS 571/2025: punto de inflexión en
la jurisprudencia sobre ciberfraudes
La Sentencia del Tribunal Supremo 571/2025 consolidó
un principio clave: si el banco no demuestra que adoptó todas las medidas
razonables para prevenir el fraude, la responsabilidad es suya. El fallo
rechaza que el cliente asuma los riesgos derivados de la ingeniería social
cuando no se acredita un sistema robusto de control y reacción.
Este pronunciamiento precipitó el desistimiento del
banco en el presente caso, consciente de su posición insostenible tras este
precedente jurisprudencial.
7. Conclusión: la banca debe adaptarse al
riesgo digital
Este caso marca un hito en la doctrina judicial sobre
fraude electrónico. Reafirma que el consentimiento en operaciones digitales no
puede presumirse cuando hay indicios objetivos de manipulación externa y
ausencia de control efectivo.
Las entidades financieras deben:
- Implementar
análisis de riesgo en tiempo real;
- Establecer
protocolos reactivos eficaces ante alertas y duplicados de SIM;
- Coordinar
adecuadamente sus áreas jurídica, técnica y de cumplimiento;
- Asumir
que la seguridad digital no es un accesorio, sino un deber jurídico
ineludible.
Como ha reiterado nuestra jurisprudencia, no basta con
contratar un servicio de banca electrónica: el banco debe prevenir, supervisar
y responder. En caso contrario, el coste del fraude será suyo.
✍️ Autor:
Santiago Carretero Sánchez – Profesor de Derecho, abogado y autor de "IA
Jurídica: marco teórico y estudio de casos" (Colex, 2024).
Comentarios
Publicar un comentario