Tabla de contenidos
La Audiencia Provincial de Zaragoza ha dictado una sentencia en la que aplica por primera vez de forma clara la doctrina del Tribunal de Justicia de la Unión Europea de 15 de octubre de 2026 (asunto C-70/25, Tukowiecka) en un caso de fraude bancario por smishing. El resultado es que el banco debe reembolsar de inmediato las cantidades transferidas de forma no autorizada, aunque alegue que el cliente incurrió en negligencia grave.
Este pronunciamiento confirma un cambio importante en la forma en que deben resolverse las reclamaciones por operaciones no autorizadas realizadas a través de banca online.
Qué es el smishing y cómo se produjo el fraude
El smishing es una variante del phishing que se realiza principalmente a través de mensajes SMS (aunque también puede combinarse con llamadas telefónicas). En este caso, los demandantes recibieron contactos que simulaban proceder del banco. El estafador se hizo pasar por el gestor de banca digital, mantuvo conversaciones por teléfono y WhatsApp, y consiguió que el cliente facilitara claves de firma y códigos SMS de confirmación. Con esos datos se realizaron tres transferencias no autorizadas a través de la banca online: una el 21 de noviembre de 2022 y otras dos el 5 de diciembre de 2022. El importe total reclamado ascendió a 6.147,68 euros. En primera instancia, el Tribunal de Instancia de Zaragoza desestimó la demanda. Consideró que el cliente había incurrido en negligencia grave al revelar sus claves y datos de seguridad al tercero que se hacía pasar por el banco. Ibercaja se opuso alegando precisamente esa negligencia grave como causa de oposición principal.Qué dice la sentencia de la Audiencia Provincial de Zaragoza
La Sección 4ª de la Audiencia Provincial de Zaragoza (Sentencia nº 522/2026, de 26 de octubre de 2026, Rollo 1012/2024) revoca la sentencia de instancia y estima la demanda. El tribunal aplica directamente la sentencia del TJUE de 15 de octubre de 2026 (asunto C-70/25, Tukowiecka). Según esta doctrina, un proveedor de servicios de pago no puede negarse a devolver de forma inmediata el importe de una operación de pago no autorizada por el mero hecho de considerar que el ordenante incurrió en negligencia grave. La Audiencia resume la posición del TJUE como una especie de “solve et repete” invertido a favor del consumidor:- El banco tiene la obligación de reembolso inmediato cuando se trata de una operación no autorizada y no se alega fraude, sino negligencia grave.
- Posteriormente, el banco puede reclamar al cliente la devolución de esas cantidades si consigue probar la negligencia grave y su relación causal con la pérdida.
- La carga de la prueba y la iniciativa procesal corresponden al banco, no al consumidor.
Puedes leer aquí la sentencia de la Audiencia de Zaragoza
Qué cambia en la práctica tras la doctrina del TJUE
Hasta ahora, muchos bancos denegaban el reembolso de operaciones no autorizadas alegando que el cliente había facilitado sus claves o había actuado con negligencia grave. Con la sentencia del TJUE de octubre de 2026 y su aplicación por la Audiencia Provincial de Zaragoza, esa práctica queda limitada. El esquema actual es el siguiente:- Si la operación no está autorizada, el banco debe reembolsar de forma inmediata (salvo que existan motivos razonables para sospechar fraude, no mera negligencia).
- Una vez realizado el reembolso, el banco puede iniciar las acciones que considere oportunas contra el cliente para recuperar el dinero, pero deberá probar la negligencia grave.
- El consumidor no tiene que demostrar que no fue negligente para obtener el reembolso inicial.
Cómo puede afectar a los clientes y qué pueden hacer
Si has sufrido un fraude por phishing, smishing o spoofing y el banco te ha denegado el reembolso alegando que facilitaste tus claves o que actuaste con negligencia, esta doctrina puede ser relevante. Pasos habituales en estos casos:- Comunicar de inmediato al banco la operación no autorizada (el plazo máximo de notificación es de 13 meses desde el adeudo).
- Conservar todas las pruebas: mensajes SMS, capturas de WhatsApp, registros de llamadas, correos, etc.
- Solicitar por escrito el reembolso inmediato conforme a la normativa de servicios de pago.
- Si el banco se niega alegando negligencia grave, valorar la reclamación judicial a la luz de la sentencia del TJUE y de pronunciamientos como el de la Audiencia Provincial de Zaragoza.
Qué hacemos en Solvendi Abogados
En Solvendi Abogados analizamos reclamaciones por operaciones no autorizadas derivadas de phishing, smishing y otras modalidades de fraude bancario. Revisamos la documentación, valoramos la viabilidad de la reclamación a la luz de la normativa de servicios de pago y de la jurisprudencia reciente (incluida la doctrina del TJUE) y, cuando procede, iniciamos las acciones correspondientes. Si el banco te ha denegado el reembolso de una transferencia o cargo que no autorizaste, podemos estudiar tu caso de forma gratuita y sin compromiso.Preguntas frecuentes
¿El banco tiene que devolverme el dinero siempre que haya phishing o smishing?
No siempre de forma automática y definitiva. Según la doctrina del TJUE, debe reembolsar de inmediato las operaciones no autorizadas aunque alegue negligencia grave. Después puede reclamar si prueba esa negligencia.¿Qué diferencia hay entre phishing y smishing?
El phishing es el término general para fraudes que buscan obtener datos mediante engaño. El smishing es la variante que se realiza principalmente a través de SMS (a menudo combinada con llamadas). En este artículo puedes conocer mejor las diferencias.¿Qué plazo tengo para reclamar una operación no autorizada?
La normativa de servicios de pago establece un plazo máximo de 13 meses desde la fecha del adeudo para notificar la operación no autorizada al banco.¿Si di mis claves por teléfono el banco puede negarse a devolver?
Según la sentencia del TJUE aplicada por la Audiencia Provincial de Zaragoza, el banco no puede negar el reembolso inmediato solo por ese motivo. Puede intentar recuperar el dinero después, pero debe probar la negligencia grave.¿Esta sentencia de Zaragoza obliga a todos los bancos?
Es un pronunciamiento de una Audiencia Provincial que aplica una sentencia del TJUE. La doctrina del Tribunal de Justicia es vinculante para los jueces españoles. Otros tribunales pueden seguir el mismo criterio.¿Puedo reclamar aunque el fraude ocurriera en 2022?
Depende de las circunstancias concretas, de si se notificó en plazo y de la prescripción. Cada caso debe analizarse individualmente.Análisis gratuito de tu caso
Si has sido víctima de un fraude por smishing, phishing o cualquier otra modalidad y el banco no te ha devuelto el dinero, podemos revisar tu documentación sin compromiso. Consúltanos tu caso. Llámanos al teléfono gratuito 900 831 282 o contacta con Solvendi Abogados. También puedes consultar nuestra información sobre reclamaciones bancarias y el artículo sobre la sentencia del TJUE en materia de phishing.Fuentes
- Sentencia de la Audiencia Provincial de Zaragoza (Sección 4ª) nº 522/2026, de 26 de octubre de 2026.
- Sentencia del Tribunal de Justicia de la Unión Europea de 15 de octubre de 2026, asunto C-70/25 (Tukowiecka).
- Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior (PSD2).
- Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago.
