Recibe un SMS aparentemente enviado por su banco. El texto le advierte de un acceso no autorizado y le pide que pulse un enlace para bloquear su cuenta. Lo hace. Introduce sus credenciales en lo que parece la web de su entidad. Y en cuestión de minutos, una transferencia que usted no ha ordenado abandona su cuenta.

Esta es la secuencia habitual del phishing bancario. Y aunque parezca un problema que el afectado “podría haber evitado”, la jurisprudencia del Tribunal Supremo ha matizado significativamente esa idea: los bancos tienen obligaciones legales concretas de seguridad, autenticación y monitorización de operaciones. Cuando esas obligaciones no se cumplen —o cuando el sistema de alerta falló—, la entidad puede ser responsable de los fondos sustraídos, aunque la víctima haya pulsado el enlace.

¿Qué es exactamente el phishing bancario?

El phishing bancario es una técnica de fraude en la que un tercero suplanta la identidad de su entidad financiera —mediante un correo electrónico, un SMS (smishing) o una llamada telefónica (vishing)— para obtener sus credenciales de acceso o inducirle a autorizar una transferencia. El objetivo final es desviar el dinero hacia una cuenta controlada por el defraudador.

Qué obliga la ley a los bancos en materia de seguridad

La Directiva PSD2 y la autenticación reforzada

La normativa europea de servicios de pago (PSD2) exige a las entidades aplicar mecanismos de autenticación reforzada de cliente en las operaciones sensibles. Cuando una operación fraudulenta se ejecuta sin que esos mecanismos funcionen como deberían, surge la pregunta de si el banco cumplió su parte.

La diferencia entre una operación “autorizada” y una “consentida bajo engaño”

Un punto central del debate jurídico es si el cliente realmente “autorizó” la operación o si fue inducido a ello mediante engaño. No es lo mismo ordenar conscientemente una transferencia que facilitar unas claves creyendo que se está protegiendo la cuenta. Esa distinción puede ser determinante en la reclamación.

Los casos en los que el banco responde (y en los que no)

No todos los casos son iguales. La responsabilidad de la entidad suele analizarse a partir de si el sistema de autenticación falló, si el banco no alertó de una operación claramente anómala y de la conducta concreta del cliente. Que la víctima facilitara sus claves no implica, por sí solo, perder toda posibilidad de reclamación: la valoración depende de las circunstancias.

Qué pasos dar si ha sido víctima de phishing

  • Documente todo: capturas del SMS o email, extractos y cualquier comunicación con el banco.
  • Reclame por escrito al Servicio de Atención al Cliente de su entidad.
  • Si el banco rechaza la reclamación, valore las vías siguientes con asesoramiento.

No asuma que no hay nada que hacer

Durante años se asumió que la víctima de phishing cargaba sola con la pérdida. Hoy, el marco jurídico es más favorable. No garantiza el resultado —cada caso depende de sus circunstancias—, pero sí abre una vía de reclamación que merece la pena estudiar.

Este artículo tiene carácter informativo y no constituye asesoramiento jurídico individualizado. El estudio de cada caso es necesario para determinar la viabilidad de cualquier reclamación.