Índice de contenidos
El Tribunal Supremo ha dado a los consumidores un asidero legal para reclamar al banco por phishing, una de las grandes ciberestafas de esta era
En solo cinco años, la cifra de fraudes digitales se ha multiplicado por dos en España. Solo el año pasado se presentaron casi medio millón de denuncias relacionadas con ciberestafas: sustracción de credenciales, códigos de verificación o dígitos de las tarjetas de crédito… Es por eso que cada vez son más los clientes que se deciden a reclamar al banco por phishing.
Una compleja decisión para cualquier consumidor de a pie que con seguridad se verá alentada aún más de ahora en adelante tras el reciente dictamen del Tribunal Supremo. Y es que la sentencia 571/2025 del Tribunal Supremo ha marcado un hito en la protección del consumidor digital.
Desde el pasado 9 de abril, los bancos serán responsables de devolver el dinero sustraído mediante ciberestafas como el phishing. Será así salvo que puedan probar que el cliente actuó con negligencia grave.
Reclamar al banco por phishing, seguramente la más frecuente de las amenazas digitales a las que se enfrentan los ciudadanos, es desde hace un mes bastante más fácil.
Pero vayamos por partes…
¿Qué es el phishing?
En esencia, el phishing tiene su origen en la propia etimología de la palabra: pescar, en inglés. Se trata de una técnica de ingeniería social utilizada por los actores hostiles para hacerse con datos personales y bancarios de sus víctimas.
El funcionamiento es muy simple. También muy eficaz. Un usuario recibe un correo electrónico, un SMS (smishing) o una llamada (vishing) que en apariencia procede de su entidad bancaria, de una empresa o una institución confiable. Obviamente, todo es un engaño.
La apariencia de esos mensajes está cada vez más lograda. Es cierto que hay ataques con phishing muy burdos, pero no nos engañemos: cada vez son más las suplantaciones identidad que logran simular escenarios muy reales a la vista o el oído de la víctima.
Los mensajes de phishing apelan con frecuencia a la urgencia. Se apoyan en expresiones como “tu cuenta será bloqueada” o “tienes que validar un cargo sospechoso”.
¿Credenciales de viva voz? Jamás
¿El objetivo? Lograr en el caso del mail o el SMS (también mensajes de WhatsApp) que el receptor pinche en una url y aterrice en una web que simula la oficial. En el vishing, la operativa es quizás más burda porque suelen pedir credenciales. Algo que un banco no haría jamás.
Sea como fuere, al acceder a la citada web falsa, los ciberdelincuentes se harán con las claves para poder acceder a la cuenta bancaria del consumidor. El principio del fin: el paso indispensable para que los malos puedan hacer transferencias, modificar contraseñas o solicitar tarjetas virtuales en apenas unos minutos.
Ante una situación de esta naturaleza, reclamar al banco por phishing será la única solución posible para evitar una catástrofe.
Encontrar a los responsables de la ciberestafa es las más de las veces tarea imposible. La nebulosa que circunda los mundos digitales en los que se mueven estos grupos representa una valla demasiado alta de saltar.
Reclamar al banco por phishing: el punto de inflexión
Hace solo unos días, el Tribunal Supremo marcó un punto de inflexión en favor de los consumidores que se enfrentan a estas amenazas. La sentencia 571/2025 unifica criterios a la hora de reclamar al banco por phishing y establece un principio que hasta la fecha había generado cierta confusión:
No basta con que el cliente haya entregado sus claves por error para atribuirle toda la responsabilidad del incidente. Al contrario, ahora la entidad financiera debe acreditar que su cliente actuó de forma temeraria o con dolo para quedar eximida de responsabilidad ante un fraude digital. Si no es así, la entidad estará más cerca de ser condenada.
El alto tribunal ha sentado las bases de cómo han de actuar los bancos ante el creciente número de amenazas digitales que afronta la sociedad. En concreto, el fallo establece que las entidades tienen el deber de implementar sistemas avanzados de detección de operaciones sospechosas y de impedir transacciones atípicas.
Seguramente muy características en los casos de phishing.
La sentencia fija cinco requisitos para que un consumidor pueda salirse con la suya al reclamar al banco por phishing:
- Diligencia de seguridad.
- Buena fe del cliente.
- Denuncia del fraude.
- Comunicación inmediata a la entidad.
- Ausencia de negligencia.
¿Quiénes son las víctimas objetivo del phishing?
Los expertos en ciberseguridad lo dejan muy claro al responder a esta cuestión: nadie está libre de está amenaza. Con todo, sí reconocen que hay públicos objetivo que están en el foco de los ciberdelincuentes:
- Personas mayores. Son uno de sus blancos favoritos por sus dificultades para manejarse con las tecnologías y la falta de formación o conocimiento específico.
- Usuarios no digitalizados. En el mundo de hoy todavía hay muchas personas reactivas a la tecnología que pueden acabar cayendo en trampas como el phishing.
- Empleados de empresas. En este caso, el interés no habita en su falta de destrezas digitales, sino en la calidad de la información que manejan. Algo muy evidente en los departamentos de contabilidad o compras.
Llegados a este punto, es importante señalar que el phishing no solo apela a la ignorancia o a la falta de habilidades a la hora de moverse en territorio digital. En muchos casos, los actores hostiles se apoyan en la urgencia para desencadenar el caos.
Por eso es cada vez más frecuente que en el caso de reclamar al banco por phishing aparezcan jóvenes. Chicos y chicas muy acostumbrados a interactuar rápidamente con notificaciones y enlaces y a quienes un despiste puede jugarles una mala pasada.
¿Cómo identificar un intento de phishing?
Los primeros ataques masivos de phishing partían de operativas un tanto burdas: webs con faltas de ortografía, enlaces de extensión y contenido insólito que llevaban al receptor a sospechar… De un tiempo a esta parte, sin embargo, la sofisticación de este tipo de ciberataques ha crecido exponencialmente.
Sea como fuere, hay algunos indicadores que puedan dar pistas muy evidentes sobre la existencia de una ciberestafa:
- Mensajes de crisis. Es imposible que un banco se dirija a un cliente con mensajes como “último aviso” o “inmovilización de cuenta”. Los canales para este tipo de informaciones son otros.
- Remitentes extraños o dominios sospechosos. Sigue siendo una de las mejores fórmulas para detectar el phishing. Dominios o mails raros como @banco-clientres.com en lugar de @banco.es.
- Solicitudes de datos personales o claves. Un banco jamás pedirá esta clase de información a través de un mail, un SMS o un WhatsApp. Ahí hay otra prueba de engaño.
- Enlaces fake. La mejor forma de verificar que el enlace no dirige a la web oficial de la entidad es pasar el ratón por encima del enlace.
¿Qué debo hacer si he sufrido una estafa de phishing?
Desde que el Tribunal Supremo se pronunció hace unos días sobre este problema, la respuesta de los clientes o empresas afectados por estas ciberestafas está claro.
El proceso para recuperar el dinero de una estafa online y reclamar al banco por phishing está ya perfectamente pautado:
- Bloquea inmediatamente tus cuentas o tarjetas afectadas.
- Contacta con tu entidad bancaria para notificar el fraude.
- Presenta una denuncia ante la Policía Nacional o Guardia Civil.
- Recopila todas las pruebas posibles: capturas de pantalla, correos, mensajes, etc.
- Solicita por escrito la devolución de las cantidades sustraídas.
- Busca asesoramiento legal especializado en derecho bancario y ciberfraudes.
En conclusión
Es evidente que todo lo ocurrido en los últimos años en este ámbito han señalado una serie de pautas que cualquier consumidor debería incorporar a sus hábitos cotidianos. No abrir mensajes no verificados, acceder al banco desde la web o app oficial, activar la doble autenticación (2FA) o revisar de forma periódica los movimientos de las cuentas son hoy en día pasos indispensables para evitar disgustos.
Otras salvaguardas como contar con un antivirus y mantener el sistema actualizado o incluso evitar conectarse a la banca online desde redes WiFi públicas son más que recomendables.
Sea como fuere, el phishing ha dejado de ser un problema técnico para convertirse también en uno de naturaleza jurídica. Uno en el que los consumidores tienen en su mano salir airosos en sus eventuales cuitas con los bancos.
