Modelo Carta Burofax Reclamación Responsabilidad Bancaria por Phishing Fraudes Informáticos – CaixaBank, Banco Santander, Banco Sabadell, BBVA, etc. (Actualizado 2025)

1. Aspectos básicos sobre el phishing o fraudes informáticos

El término «phishing» deriva del inglés «fishing» (pescar), haciendo alusión a la forma en que los estafadores lanzan anzuelos a los usuarios de Internet, esperando que caigan en la trampa. El phishing se refiere a una táctica utilizada por ciberdelincuentes para suplantar a entidades legítimas, como instituciones bancarias o empresas reconocidas, con el objetivo de engañar a los usuarios y obtener datos personales y financieros sensibles. Este tipo de fraude se lleva a cabo a través de diversos canales de comunicación en línea, como correos electrónicos fraudulentos, mensajes de texto o llamadas telefónicas. ❗ Cuando se lleva a cabo un exitoso ataque de phishing, los perpetradores logran acceder a las cuentas bancarias de las víctimas, lo que les permite realizar transacciones no autorizadas y suplantar su identidad. Esta actividad delictiva puede tener consecuencias graves para los afectados, ya que pueden sufrir pérdidas financieras considerables y poner en riesgo la confidencialidad de su información personal.

1.1. Concepto jurisprudencial

➡️ Existen diversos tipos de phishing o fraudes informáticos según lo define la jurisprudencia, entre otras, en la Sentencia de la Audiencia Provincial de Madrid, Sec. 9ª, S 04-05-2015, nº 178/2015, rec. 661/2013. Según esta sentencia, el phishing se caracteriza por la suplantación de la identidad de una entidad bancaria con el fin de obtener información confidencial, como contraseñas de cuentas bancarias o tarjetas de crédito, necesaria para acceder a las cuentas de los usuarios en la banca en línea. El modus operandi usualmente implica el envío de correos electrónicos o mensajes instantáneos en los que se solicita al destinatario que cambie sus claves bancarias, proporcionándole un enlace que supuestamente lo dirigirá al sitio web legítimo del banco. En muchos casos, los estafadores utilizan técnicas de engaño para hacer que la página web falsa se asemeje a la del banco legítimo, e incluso se envían correos para solicitar la verificación de cuentas, incluyendo enlaces que parecen dirigir a la página oficial del banco.

1.2. Estafa bancaria por Internet en constante evolución

❗ Entre las diversas formas de estafa bancaria por Internet, el phishing se destaca como una de las más frecuentes y peligrosas. Estas modalidades de estafa bancaria por Internet están en constante evolución, adaptándose a las medidas de seguridad implementadas por los bancos y buscando nuevas formas de engañar a los usuarios desprevenidos. Es por ello que, resulta fundamental mantenerse alerta y estar al tanto de las últimas técnicas utilizadas por los ciberdelincuentes con el fin de proteger nuestra información financiera y personal. Para evitar caer en estas trampas, es esencial seguir prácticas de seguridad sólidas, como verificar la autenticidad de los correos electrónicos y mensajes recibidos, no hacer clic en enlaces sospechosos y mantener actualizados los sistemas de protección en nuestros dispositivos. Recuerda que la prevención y la educación en seguridad en línea son fundamentales para proteger tus datos y evitar ser víctima de phishing.

1.3. Ejemplos de Phishing

Los estafadores emplean una amplia variedad de tácticas de phishing para engañar a las personas y obtener información confidencial. Una táctica común utilizada por los estafadores es enviar mensajes de texto (SMS) o correos electrónicos haciéndose pasar por entidades legítimas. Estos mensajes suelen aparecer en el mismo hilo de conversaciones que los mensajes legítimos de la entidad y suelen contener enlaces a sitios web falsos que imitan la apariencia de los sitios oficiales, lo que lleva al usuario a creer que provienen realmente de la empresa legítima. ➡️ Además, estos mensajes suelen alertar a los usuarios sobre supuestas actividades sospechosas en sus cuentas y los instan a hacer clic en enlaces proporcionados para solucionar el problema. Una vez que los usuarios ingresan sus datos en estos sitios falsificados, los estafadores los capturan y los utilizan para acceder a sus datos personales. A continuación, presentamos algunos ejemplos comunes de cómo operan:

a) Suplantación de la identidad de un banco (CaixaBank, Banco Santander, BBVA, Banco Sabadell, etc.)

En el SMS o correo electrónico que el phisher envía suplantando la identidad de un banco, se informa al usuario que su cuenta ha sido cancelada o que se requiere una actualización de datos debido a cambios operativos. Luego, se le solicita hacer clic en un enlace proporcionado en el mensaje. Este enlace generalmente termina con la extensión .biz, que se utiliza comúnmente para sitios web de negocios. Al hacer clic en el enlace, se abre una página web que es una réplica exacta del sitio web del banco (un clon), con la única diferencia de una letra en el dominio del enlace. ❗ El usuario generalmente no percibe esta pequeña diferencia y tampoco se da cuenta de que las conexiones seguras con el banco se indican con un candado y utilizan «https://» en lugar de «http://».

b) Suplantación de la identidad de Correos

Un ejemplo muy usual es aquel que comienza con un SMS supuestamente enviado por Correos al cliente, en el que se le informa que tiene un paquete pendiente de entrega y se le solicita que haga clic en un enlace para obtener más información. ➡️ Al hacer clic en el enlace, el usuario es redirigido a un sitio web falso creado por el phisher. En dicho sitio, se le solicita al cliente realizar un pago de un importe muy bajo, como por ejemplo, 1 €, el cual se deberá de realizar con su tarjeta con tal de poder acceder a los detalles de la entrega. Debido a que la cantidad requerida es insignificante, muchas personas caen en la trampa y proceden a realizar el pago, proporcionando los datos de su tarjeta (número de tarjeta, nombre del titular y código CVC ubicado en el reverso). Una vez obtenidos estos datos, el phisher tiene la capacidad de realizar compras en línea o incluso tokenizar la tarjeta, lo que le permite efectuar compras en establecimientos físicos o retirar dinero de cajeros automáticos. Es importante mencionar que las víctimas de esta estafa suelen estar esperando un paquete de Correos, lo que hace que confíen en la veracidad del SMS recibido.

2. Normativa aplicable

La base normativa de las responsabilidades del usuario y la entidad bancaria están establecidas en las siguientes leyes: ✅ Real Decreto-ley 19/2018, de 23 de noviembre, que regula los servicios de pago y otras medidas urgentes en materia financiera (En adelante, la «Ley de Servicios de Pagos» o «LSP«). ✅ Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65/CE, 2009/110/CE y 2013/36/UE y el Reglamento (UE) nº 1093/2010 y se deroga la Directiva 2007/64/CE (En adelante, «Directiva de Servicios de Pago»  o «DSP2«). Estas normativas buscan garantizar un entorno seguro y confiable para los usuarios, aprovechando las innovaciones tecnológicas. A continuación, detallamos las responsabilidades de cada parte:

2.1. Responsabilidades y obligaciones del usuario

Como cliente, el usuario tiene diversas responsabilidades que deben ser tenidas en cuenta. A continuación, mencionamos algunas de ellas:

2.1.1. Utilizar canales seguros

Una de las responsabilidades del usuario es la utilización de canales seguros para realizar sus operaciones bancarias. El uso de plataformas externas o no autorizadas por la entidad bancaria recae completamente en el usuario y puede aumentar el riesgo de caer en estafas.

2.1.2. Buen manejo de la información confidencial

Además, es responsabilidad del usuario mantener un buen manejo de su información confidencial, como por ejemplo, sus claves de acceso. El usuario no debe compartirlas con terceros ni dejarlas al alcance de personas con malas intenciones. Asimismo, también es importante realizar cambios periódicos de contraseñas para garantizar la seguridad de las cuentas.

2.1.3. Reporte de cualquier anomalía o extravío de tarjetas

Los usuarios deben reportar inmediatamente cualquier anomalía o extravío de sus tarjetas bancarias. La comunicación oportuna con el banco permite que se tomen las medidas necesarias para proteger al cliente y prevenir posibles fraudes.

2.2. Responsabilidades y obligaciones del banco

De acuerdo con las normativas vigentes, las entidades bancarias tienen una serie de responsabilidades que deben tener en cuenta. A continuación, se mencionan algunas de ellas:

2.2.1. Implementar medidas de seguridad adecuadas

Implementar medidas de seguridad adecuadas para garantizar la identidad del ordenante y la autenticación de la operación, lo cual incluye resguardar las claves de seguridad ante terceros y actuar de manera eficiente al recibir denuncias de pérdida de tarjetas o uso no autorizado. ➡️ Además, los bancos también están obligados a que las órdenes de pago se autentiquen de manera reforzada, utilizando al menos dos factores de autenticación. Estos factores pueden ser:

• Conocimiento (contraseña o código PIN),
• Posesión (tarjeta de débito o teléfono móvil), e
• Inherencia (huella dactilar).

2.2.2. Contar con mecanismos de supervisión

El DSP2 establece que los bancos deben contar con mecanismos de supervisión para detectar operaciones de pago no autorizadas o fraudulentas. También deben detectar posibles compromisos de los elementos de autenticación y señales de infección por programas maliciosos durante el proceso de autenticación. Además, los bancos pueden analizar los hábitos de consumo de los usuarios, identificar comercios seguros y evaluar el tráfico mercantil para detectar operaciones inusuales o sospechosas.

3. ¿Qué sucede en caso de phishing bancario?

3.1. Devolución de fondos en caso de operaciones no autorizadas

❗ De acuerdo con el artículo 45 de la LSP, en caso de que un cliente denuncie una operación no autorizada, el banco tiene la obligación de reembolsarle el importe de dicha operación de manera inmediata y, como máximo, al final del siguiente día hábil tras la notificación de la operación, excepto si el banco sospecha un posible fraude por parte del usuario, por lo que, deberá de informar a dicho respecto al Banco de España. ✅ ¿Necesitas presentar una reclamación formal a tu banco por un caso de phishing? Quizás te pueda ayudar nuestro Modelo Escrito de Reclamación por Responsabilidad Bancaria por Phishing. Con este modelo, podrás realizar tu reclamación de manera profesional y efectiva, siguiendo los pasos necesarios para obtener una respuesta adecuada.

3.2. Exención de responsabilidad por parte del banco: Actuación fraudulenta o incumplimiento de obligaciones por parte del usuario

❗ La normativa establece que el usuario será responsable de asumir las pérdidas en el caso de que haya actuado de manera fraudulenta o haya incumplido deliberada o gravemente alguna de sus obligaciones. En este contexto, se establece que si el usuario ha actuado de manera negligente, por ejemplo, al proporcionar sus claves sin la debida cautela, el banco no estaría obligado a asumir la responsabilidad por la pérdida del dinero del cliente. ➡️ Es importante tener en cuenta que este argumento suele ser utilizado por el banco como defensa para evitar la devolución de los fondos de forma extrajudicial. En este sentido, los bancos generalmente no niegan que el cliente haya sido víctima de una estafa, lo que argumentan es que el cliente actuó de manera negligente (con negligencia grave) al custodiar las claves de seguridad, ya que fue el propio cliente quien proporcionó las claves al tercero, incumpliendo su deber de custodia. Sin embargo, es importante destacar que esta actuación inicial por parte del banco sería contraria a la ley, ya que, según el mencionado artículo 45 de la LSP, los bancos tienen la obligación de devolver el dinero de forma inmediata, incluso si sospechan de una conducta negligente por parte del cliente. Además, repetidos juzgados han declarado que, en el caso de los ataques de phishing, el cliente está siendo engañado y manipulado, lo que invalida su consentimiento. Es decir, no existe un consentimiento válido porque el cliente no era consciente de que estaba proporcionando sus claves a un tercero (creyendo erróneamente que era el banco), por lo tanto, tampoco hay consentimiento válido para realizar esos pagos.

3.3. Inversión de la carga probatoria

❗ Si la reclamación por phishing bancario llega a los tribunales, será responsabilidad del banco demostrar la existencia de fraude o negligencia grave por parte del usuario si desea evitar una condena judicial. Esta inversión de la carga probatoria es mencionada en las sentencias judiciales, donde los tribunales resaltan esta circunstancia. Un ejemplo de ello es la sentencia de la Sentencia de la Audiencia Provincial de Badajoz, Sección 2ª, del 23 de febrero de 2013, que establece lo siguiente: «con inversión de la carga probatoria al presumirse la falta de autorización de la orden de pago o transferencia si el cliente lo niega». ✅ No obstante lo anterior, los jueces tienden a favorecer a los usuarios en sus resoluciones judiciales, ya que la negligencia grave se define como la falta de la más básica diligencia o la ausencia total de previsión y, en la mayoría de los casos, el usuario es víctima de un fraude que podría engañar a cualquier persona, por lo que no se considera que han actuado con negligencia grave.

4. Motivos por los cuales las entidades bancarias son responsables en caso de phishing

➡️ En última instancia, será responsabilidad del juez evaluar el tipo de estafa en cuestión y considerar diversos aspectos relevantes. Entre otros aspectos a considerar, el juez deberá valorar si el banco ha infringido sus obligaciones contractuales o legales. En caso de incumplimiento, se podría entender que el banco ha fallado en sus obligaciones, lo cual podría haber facilitado la comisión de la estafa y la realización de órdenes de pago no autorizadas.

4.1. Incumplimiento de las obligaciones contractuales del banco

La responsabilidad contractual del banco surge cuando no cumple los términos del contrato, lo cual puede manifestarse de diversas formas, como:

• No enviar mensajes de texto de aviso por cada operación recibida, excluyendo el SMS de autenticación reforzada. Estos mensajes informan al usuario sobre la ejecución de una compra y su ausencia impide que el usuario se percate de múltiples transacciones, limitando su capacidad para cancelar la tarjeta y reducir las pérdidas a una sola operación en lugar de varias.
• Permitir compras que excedan el límite establecido en la tarjeta. Por lo general, los contratos limitan las compras o disposiciones a un máximo de 1.200 € al día. Si el banco permite compras que superen dicho límite, estaría incumpliendo su propio contrato.
• Permitir que un tercero realice compras en lugar del titular. Esta situación también está relacionada con la responsabilidad legal.

4.2. Incumplimiento de las obligaciones legales del banco

La responsabilidad legal del banco surge cuando no cumple las obligaciones impuestas por la Directiva (UE) 2015/2366 de Servicios de Pago (DSP2), así como por el Real Decreto-Ley 19/2018, de 23 de noviembre, de Servicios de Pago (LSP), lo cual puede manifestarse, por ejemplo, cuando no exista una implementación de las medidas técnicas de seguridad requeridas según la DSP2.

4.3. Riesgos y vulnerabilidades del sistema

La responsabilidad de los bancos se basa en el hecho de que las tecnologías que utilizan son fuentes de riesgo debido a las conocidas «fugas del sistema«. ➡️ Según la jurisprudencia, los bancos deben asumir la responsabilidad de estas vulnerabilidades, ya que son ellos quienes establecen las reglas de funcionamiento y seguridad de sus tarjetas y promueven su uso masivo, como bien se indica en la Sentencia nº 428/2021 de la Audiencia Provincial de Salamanca. Por lo tanto, el incumplimiento de este deber específico de supervisión por parte del banco conlleva una responsabilidad por «culpa in vigilando» o una responsabilidad objetiva por el mal funcionamiento de los servicios de banca electrónica. ✅ Esta afirmación está respaldada por la Sentencia nº 107/2018 de la Audiencia Provincial de Alicante, que establece claramente la responsabilidad del banco en casos de fallos en la seguridad de sus servicios. En concreto, esta sentencia establece lo siguiente:

1º.) El proveedor de los servicios de pago (la Entidad Bancaria) “debe implementar las medidas necesarias para asegurar la autenticación e identidad del ordenante a la hora de prestar su consentimiento. Por ello y para su ejecución, el banco debe comprobar en todo caso la autenticidad de la orden”; 2º.) “La falsedad de la transferencia (es decir, que el ordenante no sea el titular de la cuenta) es un riesgo a cargo del banco porque, en principio, el deudor sólo se libera pagando al verdadero acreedor por lo que, si el banco cumple una orden falsa, habrá de reintegrar en la cuenta correspondiente las cantidades cargadas”. 3º.) “La responsabilidad en estos supuestos no puede atribuirse directamente al supuesto ordenante de la transferencia por entenderse ésta autorizada al haberse realizado de acuerdo con los sistemas de autenticación del banco. Los sistemas de autenticación se establecen por los proveedores de servicios de pago y si un banco no ha sido capaz de limitar el acceso al canal de banca electrónica no puede pretender que el presunto ordenante víctima de esta práctica fraudulenta sea el único responsable, pues es el banco quien tiene responsabilidad respecto del buen funcionamiento y la seguridad del mismo”. 4º.) “Las medidas de seguridad no solamente están destinadas a proteger la seguridad de las órdenes de pago emitidas por los clientes, sino que su eficacia exonera a las entidades de crédito de su responsabilidad frente a las órdenes de pago no emitidas por sus clientes de tal forma que el incumplimiento de este específico deber de vigilancia da lugar a una responsabilidad por “culpa in vigilando” o responsabilidad objetiva por el mal funcionamiento de los servicios de banca electrónica”.

4. Pasos para realizar una reclamación por phishing bancario

Para que la reclamación de una víctima de phishing bancario tenga éxito, es fundamental conocer el proceso adecuado para realizar la reclamación correspondiente. A continuación, se enumeran los pasos a seguir:

4.1. Contactar a la entidad bancaria

❗ El primer paso es notificar de inmediato a la entidad bancaria sobre el fraude, con el fin de que bloqueen el medio de pago, emitan nuevas credenciales de seguridad, así como que bloqueen cualquier operación adicional mientras se otorgan las nuevas credenciales de acceso. El banco deberá ofrecer asistencia y tomará las medidas necesarias para proteger la cuenta, proporcionando orientación específica sobre los pasos a seguir y los formularios requeridos para presentar la reclamación.

4.2. Denunciar a las autoridades competentes

En segundo lugar, es necesario presentar una denuncia formal ante la Policía Nacional u otras autoridades competentes, proporcionando detalles específicos sobre el caso. Si bien es posible que la denuncia no conduzca inmediatamente a la captura del delincuente, su presentación brindará respaldo legal sólido al momento de realizar la reclamación formal al banco. ❗ Una vez que se haya realizado la denuncia ante las autoridades competentes, es fundamental obtener una copia de esta. Este documento será de vital importancia a efectos de prueba en los siguientes pasos.

4.3. Reclamación formal ante el banco

Una vez se haya informado al banco sobre el fraude y presentado la correspondiente denuncia, es crucial presentar una reclamación por escrito ante la entidad bancaria. ➡️ En esta reclamación, se deberá solicitar la restauración de la cuenta al estado previo a las operaciones fraudulentas, así como el reembolso del importe de las operaciones no autorizadas. ❗ Durante este proceso, es esencial solicitar la devolución de los fondos robados, resaltando que la transferencia de dinero nunca fue autorizada y enfatizando la responsabilidad del banco por no haber bloqueado eficazmente la transacción fraudulenta. Además, es importante recopilar todas las pruebas disponibles que respalden el caso, como:

• Mensajes recibidos del phisher.
• Copias de los correos electrónicos fraudulentos.
• Capturas de pantalla de los sitios web falsos.
• Informes de la denuncia policial.
• Cualquier otro documento o comunicación relacionada con el incidente de phishing, o que respalde la reclamación.

Estas pruebas servirán para demostrar cómo se llevó a cabo el fraude, cómo se inició la orden de pago y la falta de consentimiento por parte del usuario, fortaleciendo así la reclamación y aumentando las posibilidades de éxito. Recuerda que cada entidad bancaria puede tener procedimientos específicos para manejar este tipo de situaciones, por lo que es recomendable seguir las instrucciones proporcionadas por el banco y mantener una comunicación abierta con ellos durante todo el proceso de denuncia y reclamación. ✅ Si necesitas presentar una reclamación formal a tu banco por un caso de phishing, seguramente nuestro Modelo Escrito de Reclamación por Responsabilidad Bancaria por Phishing pueda serte de gran ayuda. Con este modelo, podrás realizar tu reclamación de manera profesional y efectiva, siguiendo los pasos necesarios para obtener una respuesta adecuada.

4.4. Reclamación ante el Banco de España

Antes de iniciar cualquier procedimiento judicial, es recomendable que presentes una reclamación formal ante el Banco de España. En caso de que obtengas una resolución favorable por parte del Banco de España, dicha resolución servirá como respaldo y prueba de tu posición en caso de que decidas recurrir a la vía judicial. Asimismo, es recomendable que realices nuevamente una reclamación extrajudicial contra el banco, adjuntando la resolución favorable emitida por el Banco de España. Esta reclamación extrajudicial es importante para agotar todas las vías de solución amistosa antes de recurrir a la vía judicial. Recuerda que contar con la resolución del Banco de España respaldará tu reclamación y fortalecerá tu posición en cualquier procedimiento legal posterior.

4.5. Reclamación judicial

Si la entidad bancaria no responde adecuadamente a la reclamación extrajudicial, se sugiere buscar el apoyo de abogados especializados en delitos informáticos, quienes podrán actuar en nombre del usuario frente al banco y, en caso necesario, emprender las acciones judiciales pertinentes para recuperar los fondos.

Preguntas Frecuentes

¿Cuáles son las sentencias relevantes sobre casos de phishing contra bancos?

Existen casos judiciales que han sentado precedentes en relación a las estafas de phishing contra bancos. Por ejemplo, el 2 de febrero de 2022, el Juzgado de Primera Instancia de Oviedo dictaminó que el Banco Santander debía reponer 18.500 euros a un cliente que había sido víctima de un caso de phishing. Durante el año 2021, se registraron casos similares, como el fallo del juzgado de Barcelona que obligó al BBVA a reembolsar 3.000 euros a un cliente por transacciones no autorizadas. Estas sentencias fueron posibles gracias al Real Decreto-Ley 19/2018, conocido como la Ley de Servicios de Pago (LSP), que establece que los bancos deben ofrecer una respuesta en un plazo inferior a un día hábil en casos de operaciones no autorizadas. Es importante destacar que cada caso es único y puede haber variaciones en las sentencias dependiendo de los detalles y pruebas presentadas. En situaciones de estafa digital, contar con asesoramiento legal especializado puede ser de gran ayuda para comprender los derechos y opciones disponibles ante el banco.

Valoraciones

Deja tu opinión