La Audiencia lo confirma: obligan a un banco a devolver los 7.000 euros que un SMS fraudulento hizo perder a un cliente a pesar de que él entregó sus claves

La Audiencia Provincial de Cantabria ha confirmado la condena a una entidad bancaria a devolver 7.000 euros a un cliente que fue víctima de una estafa por SMS en la que los ciberdelincuentes lograron acceder a su banca a distancia y ordenar dos transferencias no autorizadas. El tribunal rechaza el recurso de la entidad y avala que el banco debe asumir la pérdida al no haber demostrado que el usuario actuara con negligencia grave.

El caso se remonta al 5 de junio de 2022, cuando el afectado recibió en su teléfono móvil un mensaje que aparentaba proceder de su banco y le alertaba de un inicio de sesión inusual. El SMS le remitía a un enlace para evitar el bloqueo de sus fondos. Tras acceder, el cliente introdujo sus claves creyendo que estaba operando con su entidad y, poco después, comprobó que se habían realizado en su cuenta dos transferencias por importes de 5.000 y 2.000 euros, ambas con el concepto “rebellion” y a favor de un tercero.

El banco en cuestión defendía en el recurso que el propio cliente había facilitado sus datos personales y sus credenciales de seguridad, y que incluso había autorizado mediante clave OTP la vinculación de otro dispositivo a su banca digital. A juicio del banco, esa conducta rompía el deber de custodia exigible al usuario y permitía atribuirle la responsabilidad de lo ocurrido.

El caso se remonta al 5 de junio de 2022, cuando el afectado recibió en su teléfono móvil un mensaje que aparentaba proceder de su banco y le alertaba de un inicio de sesión inusual

La Audiencia, sin embargo, rechaza esa tesis y recuerda que la normativa aplicable en materia de servicios de pago establece un sistema de responsabilidad cuasi objetiva para el proveedor bancario en este tipo de operaciones. Eso significa que el banco solo puede librarse de devolver el dinero si acredita que el cliente actuó de forma fraudulenta o con negligencia grave, algo que en este caso no ha logrado probar. Los magistrados subrayan que no basta con demostrar que el usuario introdujo sus claves o siguió las instrucciones recibidas. Lo decisivo es si lo hizo de una manera tan descuidada que merezca la calificación de negligencia grave, y la Sala concluye que no fue así. Según la sentencia, resultaba razonablemente esperable que una persona media actuara como lo hizo el demandante al recibir una alerta por el canal habitual de mensajería de su entidad bancaria y seguir las instrucciones que aparentaban proceder del propio banco.

La resolución pone además el foco en la obligación del proveedor de servicios de pago de garantizar canales de comunicación seguros y fiables. Si esos canales no ofrecen plena seguridad frente a manipulaciones o suplantaciones, el riesgo debe recaer sobre la entidad financiera y no sobre el cliente, al que la ley considera la parte más vulnerable del sistema. La Audiencia cita incluso la doctrina más reciente del Tribunal Supremo, según la cual el mero registro de una operación o de una autenticación no basta por sí solo para demostrar que el usuario la autorizó válidamente ni que incurrió en negligencia grave.

Por todo ello, el tribunal confirma íntegramente la sentencia dictada por el Juzgado de Primera Instancia número 2 de Medio Cudeyo y mantiene la condena al banco demandado a pagar al afectado los 7.000 euros sustraídos, además de los intereses legales. La entidad también deberá asumir las costas de la apelación. La resolución aún puede ser recurrida en casación.