Los perjuicios del phishing los paga el banco, no el cliente
12 de mayo, 2025
Primera sentencia del TS sobre una materia muy debatida en jurisprudencia de primera instancia y no correctamente regulada en la normativa de servicios de pago
La demandante, persona física, cliente de la entidad bancaria, reclama la restitución de todas las disposiciones indebidas realizadas delictivamente mediante la sustracción informática de las claves de las cuentas corrientes (phishing). La entidad Ibercaja perdió en las dos instancias y su recurso de casación va a ser desestimado. No consta que la entidad dispusiera de un seguro antifraudes en favor de clientes, o por la razón que fuera no fue activado.
La argumentación del TS es una amalgama de hechos (probados o presumidos) y Derecho. La cláusula de exoneración de la entidad contenida en las cgc del contrato se declara nula, por contrarias a la ley. Se glosan los arts. 36.1, 44, 45 del Real Decreto Ley 19/2018 y se concluye que la entidad no operó con el cuidado debido ni ha probado que el cliente actuara con fraude o negligencia, si este niega que haya autorizado una operación de pago.
Sobre las consideraciones de hechos que hace la sentencia, ponderando las conductas de una y otra parte, sólo cabe concluir que la doctrina está vinculada a aquéllos. Es más fácil extremar la exigencia de diligencia debida, y concluir en cada caso que las exigencias de cuidado profesional no se cumplieron, que proceder directa y limpiamente a asignar a la banca el riesgo del phishing, sin más, cuando la banca no acredita conducta impropia del cliente respecto de sus claves. Ahora, como otras muchas veces, la jurisprudencia prefiere seguir operando con una suerte de regla de inagotabilidad de la diligencia debida, mejor que asignar a una u otra parte el riesgo de contingencias no controlables por ninguna. Pero de hecho se adivina una doctrina en latencia: las entidades financieras tienen que sufrir los costes de no disponer de una potente infraestructura técnica que permita evitar el phishing sin más.
STS 571/2025, de 9 abril
