Transferencias No Consentidas Hechas Desde Cuentas Bancarias

Cuando el fraude digital llega al banco: quién responde y por qué importa

Introducción: la banca digital entre la comodidad y el riesgo

La banca electrónica se ha convertido en una herramienta cotidiana para empresas y particulares, y con ella han llegado enormes ventajas: rapidez, ahorro de tiempo y gestión remota de operaciones financieras. Y, sin embargo, esta digitalización también ha abierto la puerta a nuevas formas de fraude cada vez más sofisticadas. Así, la pregunta central ya no es solo cómo operamos con nuestro dinero, sino quién debe asumir las pérdidas cuando algo sale mal.

En este contexto se sitúa una reciente sentencia de la Audiencia Provincial de A Coruña, que analiza un conflicto entre un cliente empresarial y ABANCA a raíz de múltiples transferencias presuntamente fraudulentas realizadas desde cuentas bancarias digitales. Pero el caso va mucho más allá de una disputa económica: aborda cuestiones esenciales sobre la protección del usuario, las obligaciones de los bancos y el alcance de la responsabilidad en el ecosistema digital.

El litigio gira en torno a si el cliente actuó con negligencia grave o fraude, o si, por el contrario, fue víctima de un ataque externo que el banco debería haber detectado y prevenido. Y la resolución judicial ofrece una lección clave para usuarios y entidades financieras: en la banca digital, la seguridad no es solo cosa del cliente, sino una responsabilidad compartida que recae principalmente sobre quien gestiona el sistema de pagos.

El origen del problema: transferencias sospechosas y una alarma que sonó tarde

Los hechos comenzaron en mayo de 2019, cuando se realizaron numerosas transferencias y traspasos desde tres cuentas en dólares y euros vinculadas a un empresario y a su sociedad. Estas operaciones sumaron más de 200.000 dólares y decenas de miles de euros, y fueron efectuadas a través de la plataforma de banca electrónica del banco.

El titular de las cuentas afirmó que no había autorizado la mayoría de estos movimientos, y lo comunicó al banco tan pronto como tuvo conocimiento de ellos. Así, siguiendo las indicaciones de la entidad, presentó una manifestación ante el Consulado de España en Bogotá y posteriormente interpuso denuncia ante la policía colombiana. Pero, pese a ello, ABANCA rechazó reembolsar las cantidades retiradas.

Lo relevante es que el propio sistema interno de prevención de fraudes del banco había detectado actividad sospechosa días antes. Y esta circunstancia es crucial, porque sugiere que existían señales tempranas de riesgo que no fueron gestionadas adecuadamente. En lugar de bloquear preventivamente las operaciones o reforzar los controles, el banco permitió que el flujo de transferencias continuara.

Además, en un momento crítico, una persona que decía ser el cliente llamó al banco para reinstalar la aplicación de banca electrónica en un nuevo dispositivo. La operadora facilitó un código sin verificar de manera robusta la identidad del interlocutor, y esto abrió aún más la puerta al posible fraude. Así, la cadena de acontecimientos comenzó a inclinar la balanza hacia una posible falla en los protocolos de seguridad del banco.

Qué dice la ley: la protección del usuario como punto de partida

Para entender la decisión judicial, es fundamental conocer el marco legal aplicable. El caso se rige por el Real Decreto-ley 19/2018 de servicios de pago, que transpone normativa europea diseñada para proteger al usuario frente a operaciones no autorizadas. Esta regulación parte de una idea central: si el cliente niega haber autorizado un pago, es el banco quien debe demostrar lo contrario.

Según la ley, una operación solo se considera válida cuando existe consentimiento expreso del ordenante. Y si el cliente afirma que no dio ese consentimiento, el banco tiene la carga de probar no solo que la operación fue técnicamente autenticada, sino también que no hubo fallos de seguridad ni deficiencias en el servicio. Pero esto no se limita a mostrar registros informáticos o códigos enviados por SMS.

La normativa va más allá y establece una responsabilidad casi objetiva del proveedor de servicios de pago. Esto significa que, salvo prueba clara de fraude o negligencia grave por parte del usuario, el banco debe devolver el dinero retirado sin autorización. Así, el sistema legal prioriza la protección del cliente frente a los riesgos inherentes de la banca digital.

Además, la ley exige que los bancos utilicen sistemas de autenticación reforzada con al menos dos factores de verificación, y que cuenten con mecanismos automáticos de detección de comportamientos anómalos. Porque la seguridad no puede depender únicamente de contraseñas o mensajes de texto, sino de protocolos más avanzados y proactivos.

El papel de la jurisprudencia: lo que han dicho los tribunales europeos y españoles

La sentencia analizada no surge en el vacío, sino que se apoya en una línea jurisprudencial consolidada. El Tribunal de Justicia de la Unión Europea ya había establecido que, en casos de fraude digital, existen tres pilares inseparables: la obligación del usuario de notificar, la carga de la prueba del banco y la responsabilidad de este último si no logra demostrar que actuó correctamente.

En la misma línea, el Tribunal Supremo español ha precisado que el simple uso de credenciales digitales no equivale automáticamente a consentimiento del usuario. Es decir, que alguien haya accedido a la cuenta con usuario y contraseña no prueba por sí solo que el titular autorizara las operaciones. Y corresponde al banco demostrar que no hubo vulneraciones en su sistema.

La jurisprudencia también subraya que la “deficiencia del servicio” no se limita a fallos técnicos evidentes. Incluye cualquier falta de diligencia en la prestación del servicio financiero, como no reaccionar ante alertas de fraude o no aplicar controles adecuados cuando hay señales de riesgo. Así, el estándar exigido al banco es el de un profesional altamente cualificado y no el de un usuario medio.

En este caso concreto, los jueces consideraron que ABANCA no solo debía probar que las operaciones fueron técnicamente posibles, sino que actuó con la máxima diligencia para prevenir un posible ataque. Pero las pruebas aportadas mostraron más bien lo contrario: indicios claros de vulnerabilidad y reacción insuficiente ante alarmas internas.

La prueba pericial y las señales que apuntaban al fraude externo

Uno de los elementos decisivos del proceso fue una prueba pericial de reconocimiento de voz practicada en segunda instancia. Esta pericial concluyó que la voz de la persona que habló con el banco para reinstalar la aplicación no coincidía con la del titular real de las cuentas. Y este dato debilitó enormemente la tesis del banco.

A esto se sumaron múltiples indicios objetivos: accesos inusuales en horarios extraños, intentos de transferencias fallidos por restricciones cambiarias, cambios en datos personales y llamadas contradictorias recibidas por la entidad. Todos estos factores debieron activar protocolos de seguridad más estrictos.

Sin embargo, el banco permitió que se descargara nuevamente la app de banca electrónica en un dispositivo diferente sin verificar de manera reforzada la identidad del interlocutor. Y lo hizo pese a que su propio sistema ya había detectado actividad sospechosa ese mismo mes.

Así, los jueces concluyeron que era altamente probable que el cliente hubiera sido víctima de un fraude tipo phishing o de duplicación de tarjeta SIM, y que el banco no actuó con la diligencia exigible para evitarlo. Porque la seguridad no puede depender solo de que el usuario proteja sus claves, sino también de que la entidad supervise y controle su plataforma.

¿Actuó el cliente con negligencia? La respuesta del tribunal

ABANCA sostuvo que el cliente pudo haber compartido sus claves y su número de teléfono con terceros, y que eso explicaría el fraude. Pero esta fue solo una sospecha, sin pruebas concluyentes. Y la ley es clara: no basta con insinuar negligencia, hay que demostrarla.

El tribunal recordó que existen múltiples formas en que un tercero puede obtener credenciales sin participación del usuario, y que esto no implica automáticamente culpa del titular. Además, el cliente actuó con rapidez al denunciar los hechos y cancelar el servicio de banca electrónica tan pronto como se le alertó del problema.

También se valoró que no hay evidencia de que el cliente consultara regularmente los movimientos de sus cuentas, pero esto no se consideró negligencia grave. Porque el acceso ocasional a la app no garantiza que se visualicen todas las operaciones, ni obliga al usuario a sospechar de cada saldo mostrado.

En consecuencia, al no acreditarse fraude ni negligencia grave por parte del cliente, la responsabilidad recayó sobre el banco. Así, el tribunal aplicó la lógica protectora de la normativa de pagos: ante la duda, se protege al usuario.

La decisión final: el banco debe devolver el dinero

La Audiencia Provincial revocó la sentencia de primera instancia y estimó íntegramente la demanda del cliente. ABANCA fue condenada a devolver más de 157.000 dólares, 67.000 euros y 55.000 dólares adicionales, más los intereses desde mayo de 2019.

Además, el tribunal impuso las costas del proceso en primera instancia al banco y ordenó devolver al demandante el depósito del recurso de apelación. Esta decisión no solo reparó el daño económico, sino que envió un mensaje claro al sector financiero.

El fallo reafirma que los bancos no pueden ampararse únicamente en la existencia de sistemas técnicos de autenticación si no gestionan adecuadamente los riesgos operativos. Y subraya que deben implementar controles proactivos, capaces de detectar patrones sospechosos y bloquear operaciones cuando sea necesario.

Así, la sentencia refuerza la idea de que la confianza en la banca digital depende tanto de la responsabilidad del usuario como de la diligencia profesional de las entidades financieras.

Conclusiones: lo que este caso enseña a usuarios y bancos

Este caso muestra que la digitalización financiera trae beneficios, pero también riesgos que deben ser gestionados con rigor. Para los usuarios, la lección es clara: hay que actuar con rapidez ante cualquier irregularidad y documentar todas las comunicaciones con el banco. Pero también es tranquilizadora, porque la ley les protege frente a fraudes que escapan a su control.

Para los bancos, la enseñanza es aún más contundente. No basta con disponer de plataformas tecnológicamente avanzadas si no se utilizan con protocolos de seguridad adecuados. Porque la responsabilidad legal no se agota en cumplir mínimos técnicos, sino en prevenir activamente el fraude.

Así, esta sentencia se convierte en un precedente relevante en materia de ciberseguridad bancaria y protección del consumidor. Y recuerda que la banca digital debe ser no solo eficiente, sino también segura y confiable.

En última instancia, el mensaje es sencillo pero poderoso: cuando el fraude ocurre en el entorno digital, la primera línea de defensa no es solo el usuario, sino el propio sistema financiero. Y solo así podrá consolidarse una verdadera cultura de seguridad en la economía digital.