Los ataques informáticos pueden apuntar a sectores muy variados y uno de los favoritos es el bancario. Los cibercriminales, utilizan diferentes técnicas para robar contraseñas, datos personales y, en definitiva, tomar el control de las cuentas. ¿Qué pasa si una persona es víctima de un ataque Phishing y pierde todo su dinero? Athanasios Rantos, Abogado General del Tribunal de Justicia de la UE, lo tiene claro.
Se trata de una opinión formal en la que indica que los bancos deberían reembolsar ese dinero robado a los clientes. Además, cree que debería de ser algo inmediato e incluso si hubiera sido por culpa del cliente, por algún error que haya cometido. Vamos a hablarte de ello, además de mostrarte algunas recomendaciones esenciales para que no seas víctima de este tipo de estafas.
Los bancos deberían devolver el dinero robado
Puedes ver el comunicado de prensa, con fecha de 5 de marzo, en la web oficial de la Corte de Justicia de la Unión Europea, donde muestran la opinión de Athanasios Rantos. Este dictamen se ha emitido después de una petición presentada por el Tribunal de Distrito de Koszalin, en Polonia, en relación a un litigio entre el banco PKO BP S.A y un cliente. En el caso del banco polaco, la víctima cayó en la trampa del Phishing. Puso a la venta un artículo en Internet y una persona, supuestamente interesada en comprarlo, envió un enlace malicioso a una página que simulaba ser el banco, para que iniciar sesión. Todo era una estafa y lo que buscaba era robar las credenciales.
Como el estafador no pudo ser identificado, el banco se negó a reembolsar el dinero. Indicaban que era fallo del cliente, por lo que no tenían obligación de compensar la pérdida. Por su parte, Athanasios Rantos afirma que, según la Directiva de servicios de pago de la UE (2015/2366/PSD2), un banco no puede negarse a emitir un reembolso inmediato a las víctimas, salvo que tenga motivos razonables para creer que se trata de un fraude por parte del cliente.
Hay que tener en cuenta que esto se trata de un dictamen, no de una sentencia del TJUE. Sin embargo, sí que puede abrir las puertas a que, en un futuro, el Tribunal de Justicia de la Unión Europea obligue a los bancos a reembolsar el dinero de sus clientes, en caso de ataque Phishing.
En España, la protección al consumidor ya es bastante fuerte. El Real Decreto-ley 19/2018 limita la responsabilidad del cliente a 50€, y la sentencia 571/2025 del Tribunal Supremo ya estableció que las pruebas deben realizarse por parte del banco para demostrar negligencia grave. Este dictamen europeo reforzaría una línea jurisprudencial ya existente en nuestro país.
| Concepto | Descripción | Base Legal |
|---|---|---|
| Límite de responsabilidad del cliente | El cliente solo asume un máximo de 50€ de las pérdidas por operaciones no autorizadas. | Art. 46, RD-ley 19/2018 |
| Obligación de reembolso | El banco debe devolver el importe íntegro de la operación no autorizada sin demoras indebidas. | Art. 45, RD-ley 19/2018 |
| Carga de la prueba | Corresponde al banco demostrar que el cliente actuó de forma fraudulenta o con negligencia grave. | Sentencia 571/2025 TS |
| Excepción al reembolso | Únicamente si el banco prueba fraude deliberado o negligencia grave (no basta con haber caído en la trampa). | Jurisprudencia del TS |
Teniendo en cuenta que, cada vez hay más estafas en Internet relacionadas con el comercio electrónico, esto supone un antes y un después en cómo gestionan los bancos el phishing y las estafas. Es muy posible que los bancos pongan más procedimientos a los usuarios para evitar estos ataques, no obstante, hay que tener presente que el cliente siempre es el eslabón más débil de la cadena, porque si acepta y proporciona todas las claves, segundo factor de autenticación etc. No es posible «salvarles». Una política que pueden aplicar los bancos, es que si la transferencia se hace al extranjero, pidan más datos y avise de forma más clara a los clientes.
Cómo evitar ser víctima
Por el momento, es fundamental recomendar medidas de seguridad para no tener problemas que comprometan el acceso a tu banco. Lo principal es el sentido común. Como has podido ver en el caso del cliente polaco, que fue víctima de un ataque Phishing, previamente recibió un enlace que redirigía a una web falsa. Nunca debes entrar en tu banco desde un link que te llega por correo electrónico, redes sociales o sitios externos. Siempre debes acceder a través de la web oficial o aplicación de móvil legítima.
También es clave que protejas tu cuenta al máximo. Asegúrate de utilizar siempre una clave robusta, fiable, que contenga letras (mayúsculas y minúsculas), números y otros símbolos especiales. Asegúrate de tener una longitud adecuada. Además, habilita la autenticación en dos pasos, lo que crea una capa extra de seguridad. Hay bancos como Caixabank e incluso OpenBank que permiten añadir un teléfono móvil como dispositivo autenticador, para que nos llegue una notificación donde indique que debemos aceptar o denegar una transacción.
Por otra parte, si vas a instalar aplicación bancaria en tu móvil, hazlo siempre desde fuentes oficiales. Cuidado con esto, ya que podrías estar instalando software que ha sido modificado de forma maliciosa. Hazlo desde tiendas como Google Play o bien desde la propia web del banco, nunca lo debes hacer de tiendas de aplicaciones de terceros o similares.
En definitiva, un dictamen de Athanasios Rantos, Abogado General del Tribunal de Justicia de la UE, ha indicado que los bancos deberían reembolsar el dinero robado a un cliente en caso de un ataque Phishing. Esto puede abrir las puertas a que veamos cambios al respecto en un futuro próximo, una gran noticia para aquellos afectados por engaños donde se les roba el dinero de las cuentas.