Europa cambia las reglas del fraude bancario y la banca carga con la prueba

El Tribunal de Justicia de la Unión Europea (TJUE), el tribunal que fija cómo se aplica el derecho europeo en toda la UE, dictó el 15 de octubre una sentencia que cambia el orden en que los bancos responden a una reclamación por fraude bancario. En el asunto C-70/25, concluye que la negligencia grave del cliente no justifica retrasar el reembolso de una operación no autorizada. La entidad tiene que devolver el importe de inmediato, como máximo al final del día hábil siguiente. Si después acredita esa negligencia, podrá reclamarlo.  

Solo hay una excepción para suspender el reembolso, la sospecha fundada de que el propio cliente ha cometido fraude, y debe comunicarse por escrito a la autoridad nacional competente. 

La sentencia no decide quién asume la pérdida final en cada caso. Lo que hace es separar dos pasos que hasta ahora iban juntos. Primero se devuelve el dinero y después se discute la responsabilidad, con la carga de la prueba del lado de la entidad. Como interpreta la Directiva de Servicios de Pago (PSD2), el criterio vincula a todos los Estados miembros, también a España, donde el Real Decreto-ley 19/2018 recoge las mismas obligaciones. 

La prueba depende de lo que la sesión deja registrado 

En España, El Tribunal Supremo ya había establecido en abril de 2025 que el uso de las credenciales del cliente o de la autenticación reforzada no basta, por sí solo, para demostrar una negligencia grave.  

El principio no es exclusivo del ordenamiento español, ya que la PSD2 lo recoge para toda la UE en su artículo 72, y la sentencia europea le da más peso operativo al confirmar que la prueba corresponde a la entidad. 

Reconstruir lo ocurrido exige otro tipo de información, como el dispositivo desde el que se operó y si coincidía con el habitual, la presencia de herramientas de acceso remoto o la coherencia entre la forma de interactuar y el patrón histórico del titular.  

Esa trazabilidad sirve en las dos direcciones. Permite sostener una reclamación cuando hay indicios reales de negligencia o de fraude del propio cliente, y permite descartarla con rapidez cuando la evidencia apunta a una suplantación. En ambos casos, la decisión queda respaldada por datos verificables. 

Anticiparse antes de que la operación se ejecute 

Si el reembolso es inmediato y la recuperación depende de un proceso largo y complejo, lo más eficaz es actuar antes de que el dinero salga de la cuenta. Buena parte de estas estafas se prepara fuera del entorno bancario, mediante SMS, llamadas o anuncios en plataformas de compraventa, como en el caso que dio origen a la sentencia.  

Una clienta de un banco polaco que vendía un artículo en internet recibió de un supuesto comprador un enlace para confirmar la venta. El enlace llevaba a una web que imitaba la de su banco, donde introdujo sus claves, y con ellas el falso comprador transfirió unos 700 euros a su propia cuenta. En este tipo de fraude, cuando el defraudador accede a la banca online ya dispone de credenciales válidas. 

Fuera de la UE, el debate avanza por caminos distintos. En Reino Unido, el reembolso del fraude en el que el propio cliente ordena la transferencia bajo engaño es obligatorio desde octubre de 2024, y la pérdida se reparte entre la entidad que envía el pago y la que lo recibe. En Chile, la Corte Suprema rechazó este mes la demanda de un banco que reclamaba a un cliente el importe ya reembolsado, al no quedar acreditada su negligencia. En Brasil, el Superior Tribunal de Justicia, que unifica la jurisprudencia civil del país, tiende a eximir a las entidades cuando es el cliente quien ejecuta la transferencia, aunque las ha condenado cuando ha fallado la monitorización de operaciones atípicas. 

Por eso ganan relevancia las señales que aparecen durante la propia sesión, desde un dispositivo nunca visto hasta un ritmo de interacción impropio del titular. Su valor crece cuando se leen junto con la identidad del cliente y su historial, porque permiten responder de forma proporcional al riesgo, con una verificación adicional, una retención temporal o un bloqueo, y dejan registrada la base de cada decisión. 

Para las entidades, la calidad de la evidencia y la capacidad de detección temprana pasan a incidir de forma directa en el coste del fraude. 

En Facephi reunimos todo el contexto de una identidad en una única plataforma para decidir mejor en cada interacción y conservar la evidencia de lo ocurrido.